Sababta macmiilka Linux ee GlobalProtect ugu guuldarraysto Ubuntu cusub

Malahan macquulka ah ayaa ah in .deb-ka ka yimaada portal-kaaga GlobalProtect uu jaban yahay, ama iibiyuhu soo saaray dhismo xun. Caadi ahaan ma aha. Interface-ka Linux ee iibiyuhu weli wuxuu ku xidhan yahay Qt5 WebKit, noocyada cusub ee Ubuntu-na ma bixiyaan, sidaas darteed baakaddu waxay weyddiisanaysaa maktabad ay qaybintaadu ula kac uga saartay. Taasi waa ismaandhaaf baakadayn, ma aha soo dejis luntay, farqigaasna wuxuu go'aaminayaa haddii aad galabta ku qaadanayso inaad ku qasbto baakadaha ama toban daqiiqo inaad doorato macmiil kale.

.deb-ku ma jaban

Ku-tiirsanaan aan qaybintu mar dambe qaadin waa natiijada caadiga ah ee maktabad howsha laga fadhiisiyay. Qt5 WebKit waxaa laga saaray kaydka Ubuntu ee dambe iyo Debian-ka, sababtuna waxay ahayd ilaalinta amniga ee ma aha la'aanta baahida. Marka taasi dhacdo, baakad kasta oo weli ku xidhan ayaa joojiya in la rakibo, si kasta oo si fiican loo dhisay.

Laba guuldarro ayaa loo soo sheegaa sida isla bug oo ma aha. Nooc aan maktabadda lahayn, rakibuhu wuxuu ku istaagaa ku-tiirsanaan aan la buuxin. Nooc uu macmiilku isku rakibo oo uu ka guuldarraysto gelitaanka, waxaad arkaysaa dhibaato gacan-qaadasho TLS ama SAML gudaha qaybta browser-ka ee lagu daray. Tan koowaad waa baakadayn; tan labaad waa waqtiga hawlgalka, midkoodna laguma hagaajiyo iyada oo maktabado hore lagu koobiyeeyo desktop casri ah.

Xaqiiji ku-tiirsanaanta halkii aad ku qasban lahayd

U rakib baakadda si cad si qalabku u magacaabo ku-tiirsanaanta aan la xallin halkii uu ku siin lahaa soo koobid. Kadib weydii haddii noocaagu uu leeyahay musharrax haba yaraatee, maxaa yeelay „halkan lama heli karo” iyo „si ku meel gaar ah ayaa ka maqan muraayaddan” waxay u horseedaan go'aamo gebi ahaan kala duwan:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Haddii apt-cache policy uusan soo sheegin musharrax, jooji isku dayga inaad rakibto oo bilow inaad doorato beddel. Waxa xiisaha leh ma aha magaca baakadda maqan; waxa xiisaha leh waa xaqiiqda ah in garaafka ku-tiirsanaanta iibiyuhu uusan la socon qaybaha ay isticmaalaan isticmaalayaashu.

Waxa ay ku qasbida baakadaha hore ku samayso desktop-ka

Xalka wareegaya waa in maktabadda laga soo jiido nooc hore. Ubuntu hadda, taasi waxay ku dhammaataa isku dhac nooc yar oo Qt5: baakadaha hore waxay jiidaan libqt5core5t64 gadaal, ka dibna baakadaha KDE iyo PyQt ee la rakibay waxay bilaabaan inay dalbaan nooc ABI ah oo maktabadda la dhimay aysan mar dambe bixin. Natiijadu waa casriyeyn qayb ah oo jebisa barnaamijyo aan xiriir lahayn, taas oo ah galab aad uga xun tii aad ku bilowday.

Natiijadaas waa la filayay oo ma aha nasiib xumo. Rajada ABI ee Qt ee noocyada yar-yar way adag tahay, qaybintuna waxay keentaa hal koox isku dhafan. In maktabad ka timid nooc kale lagu daro ma aha hagaajin la beegsaday; waa casriyeyn labaad oo aan si fiican loo maamulin.

Isla taladaas waxay khusaysaa nooca waqtiga hawlgalka ee guuldarrada. Hoos u dhigista heerka amniga OpenSSL ee nidaamka oo dhan si gacan-qaadashada macmiil hore u guulaysto waxay beddelaa xiriir kasta TLS ee mishiinka si loo hagaajiyo hal barnaamij, oo ay ku jirto maareeyaha baakadaha aad u baahan doonto marka wax kale jabto.

openconnect wuxuu ku hadlaa borotokoolka

OpenConnect wuxuu si toos ah u hirgeliyaa borotokoolka GlobalProtect, iyo qoraallada borotokoolka waxay sharraxaan wicitaanka iyo qaybta u dhaxaysa labada interface server. Portal-ku wuxuu qaybiyaa dejinta iyo liiska gateway-yada; gateway-ga wuxuu dhammeeyaa tunnel-ka:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Haddii portal-ku ka tago gateway-ga aad u baahan tahay, --usergroup=gateway ama URL ku dhammaada /gateway wuxuu dhaafi doonaa tallaabada portal-ka. Marka gateway-yo badan la bixiyo, --authgroup=NAME wuxuu ka dooranayaa dhexdooda. Xaqiijintu waa magac isticmaale iyo sir, ikhtiyaar ahaan shahaadada macmiilka, gateway-yada SAML-na ficil ahaan waxay ku shaqeeyaan network-manager-openconnect halkii ay ku shaqeyn lahaayeen khad amarka gacanta lagu qoray.

Gateway leh siyaasad posture adag ayaa sidoo kale laga yaabaa inuu codsado warbixin HIP ka hor inta uusan bixin tunnel. OpenConnect wuu soo saari karaa oo diri karaa mid, laakiin haddii gateway-ku codsado liis-koob uusan soo saari karin, ma jiro calan beddela siyaasaddaas; taasi waa go'aan dhinaca server-ka.

Xaqiiji tunnel-ka, oo ogow waxa openconnect aanu hagaajin doonin

Hubi waxa tunnel-ku dhab ahaan ku dhaqangaliyay halkii aad aamin lahayd fariinta guusha. Gateway-ku wuxuu diraa jiheyn iyo habaynta sida XML oo macmiilku wuu dhaqangeliyaa, sidaas darteed waddo maqan waa dhibaato habayn ama xulasho ee ma aha khalad macmiil:

ip -4 addr show
ip route
resolvectl status

MTU wuxuu mudan yahay eegis u gaar ah. Habaynta GlobalProtect waxay had iyo jeer soo sheegtaa MTU eber ah, sidaas darteed macmiilku wuxuu qiyaasaa mid ka yimaada kharashka dahaadhka. Gudbinta waaweyn ee istaaga inta codsiyada yaryar ay gudbayaan waa calaamadda caadiga ah, daawaduna waa MTU cad oo ku yaal xiriirka halkii la damin lahaa ogaanshaha waddada.

IPv6 mar kale waa arrin gooni ah. PAN waxay ku dartay GlobalProtect 4.0, taageerada OpenConnect-na waxaa lagu sifeeyay mid tijaabo ah laga bilaabo nooca 9.0, markaa ha u qaadan in qoyska cinwaanku u dhaqmo sida IPv4 kaliya sababtoo ah tunnel-ku wuu kacay. Oo haddii gateway-ku uu ku qasbo hubin posture ah oo macmiilka furan uusan buuxin karin, ku socodsii macmiilka iibiyaha nooc LTS la taageeray, mishiin macmal ah haddii goobtaada shaqadu horey u socotay. Taasi waxay desktop-ka ka ilaalisaa waxyeello waxayna ku dhigtaa ku-tiirsanaanta hore gudaha xad aad dib u dhisi karto.