Përse klienti Linux i GlobalProtect dështon në Ubuntu më të reja

Supozimi i arsyeshëm është që .deb nga portali juaj GlobalProtect është i prishur, ose që furnizuesi dërgoi një ndërtim me defekt. Zakonisht nuk është. Ndërfaqja Linux e furnizuesit ende lidhet me Qt5 WebKit, dhe versionet më të reja të Ubuntu nuk e ofrojnë më, prandaj paketa kërkon një bibliotekë që shpërndarja juaj e hoqi me qëllim. Ky është një mospërputhje paketimi, jo një shkarkim i korruptuar, dhe kjo diferencë vendos nëse do të kaloni pasditen duke detyruar paketa apo dhjetë minuta duke zgjedhur një klient tjetër.

.deb nuk është i prishur

Një varësi që shpërndarja nuk e mban më është rezultati normal i tërheqjes së një biblioteke. Qt5 WebKit u hoq nga arkivat e mëvonshme të Ubuntu dhe nga Debian, dhe arsyeja ishte mirëmbajtja e sigurisë dhe jo mungesa e kërkesës. Kur kjo ndodh, çdo paketë që ende lidhet me të nuk mund të instalohet më, sado mirë të jetë ndërtuar.

Dy dështime raportohen si i njëjti bug dhe nuk janë. Në një version pa bibliotekën, instaluesi ndalon në një varësi të papërmbushur. Në një version ku klienti instalohet dhe më pas dështon në hyrje, ju po shihni në vend të kësaj një problem shtrëngimi duarsh TLS ose SAML brenda komponentit të integruar të shfletuesit. I pari është paketim; i dyti është kohë ekzekutimi, dhe asnjëra nuk rregullohet duke kopjuar biblioteka të vjetra në një desktop modern.

Konfirmoni varësinë në vend që ta detyroni

Instaloni paketën në mënyrë eksplicite, që mjeti të emërtojë varësinë e pazgjidhur në vend që t'ju japë një përmbledhje. Pastaj pyesni nëse versioni juaj ka ndonjë kandidat fare, sepse „nuk disponohet këtu” dhe „mungon përkohësisht nga ky pasqyrë” çojnë në vendime krejt të ndryshme:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Nëse apt-cache policy nuk raporton asnjë kandidat, ndaloni së provuari ta instaloni dhe filloni të zgjidhni një alternativë. Gjëja interesante nuk është emri i paketës që mungon; është fakti që grafiku i varësive të furnizuesit nuk është zhvendosur bashkë me shpërndarjet që ekzekutojnë përdoruesit tuaj.

Çfarë u bën desktop-it detyrimi i paketave të vjetra

Zgjidhja që qarkullon është të nxirret biblioteka nga një version më i vjetër. Në një Ubuntu aktual kjo përfundon në një konflikt versioni minor të Qt5: paketat më të vjetra tërheqin libqt5core5t64 mbrapa, dhe më pas paketat KDE dhe PyQt të instaluara fillojnë të kërkojnë një version ABI që biblioteka e ulur nuk e ofron më. Rezultati është një përditësim i pjesshëm që thyen aplikacione të palidhura, që është një pasdite shumë më e keqe se ajo me të cilën filluat.

Ky rezultat pritet dhe nuk është fat i keq. Pritjet e ABI-së së Qt për versionet minore janë të rrepta, dhe një shpërndarje ofron një grup koherent. Të përziesh një bibliotekë nga një version tjetër nuk është një rregullim i synuar; është një përditësim i dytë, më pak i kontrolluar.

I njëjti këshillë vlen për variantin e kohës së ekzekutimit të dështimit. Ulja e nivelit të sigurisë së OpenSSL në të gjithë sistemin që shtrëngimi i duarve i një klienti të vjetër të ketë sukses ndryshon çdo lidhje TLS në makinë për të rregulluar një aplikacion, duke përfshirë menaxherin e paketave që do t'ju duhet kur diçka tjetër prishet.

openconnect flet protokollin

OpenConnect zbaton drejtpërdrejt protokollin e GlobalProtect, dhe shënimet e protokollit përshkruajnë si thirrjen ashtu edhe ndarjen mes dy ndërfaqeve të serverit. Portali shpërndan cilësimet dhe listën e portave; porta përfundon tunelin:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Nëse portali lë jashtë portën që ju nevojitet, --usergroup=gateway ose një URL që përfundon me /gateway kalon hapin e portalit. Kur ofrohen disa porta, --authgroup=NAME zgjedh mes tyre. Vërtetimi është një emër përdoruesi dhe një fjalëkalim, opsionalisht me një certifikatë klienti, dhe portat SAML në praktikë punojnë përmes network-manager-openconnect në vend të një rreshti komandimi të shtypur me dorë.

Një portë me një politikë të rreptë posture mund të kërkojë gjithashtu një raport HIP përpara se të japë një tunel. OpenConnect mund të gjenerojë dhe të dorëzojë një, por nëse porta kërkon një inventar që nuk mund ta prodhojë, asnjë flamur nuk e ndryshon atë politikë; është një vendim në anën e serverit.

Verifikoni tunelin dhe dijeni çfarë nuk do të rregullojë openconnect

Kontrolloni çfarë zbatoi tuneli në të vërtetë në vend që t'i besoni mesazhit të suksesit. Porta dërgon rrugëtimin dhe konfigurimin si XML dhe klienti i zbaton, prandaj një rrugë që mungon është problem konfigurimi ose përzgjedhjeje dhe jo një bug i klientit:

ip -4 addr show
ip route
resolvectl status

MTU meriton një vështrim më vete. Konfigurimi i GlobalProtect raporton gjithmonë MTU zero, prandaj klienti vlerëson një nga kostot e inkapsulimit. Transferimet e mëdha që ngecin ndërsa kërkesat e vogla kalojnë janë simptoma klasike, dhe ilaçi është një MTU eksplicite në lidhje në vend të fikjes së zbulimit të rrugës.

IPv6 është përsëri një çështje më vete. PAN e shtoi atë në GlobalProtect 4.0, dhe mbështetja e OpenConnect përshkruhet si eksperimentale nga versioni 9.0, prandaj mos supozoni se familja e adresave sillet si IPv4 vetëm sepse tuneli u ngrit. Dhe nëse porta imponon një kontroll posture që klienti me burim të hapur nuk mund ta përmbushë, ekzekutoni klientin e furnizuesit në një version LTS të mbështetur, në një makinë virtuale nëse stacioni juaj i punës ka shkuar përpara. Kjo e mban desktop-in të paprekur dhe e vendos varësinë e vjetër brenda një kufiri që mund ta rindërtoni.