Kwa nini mteja wa Linux wa GlobalProtect unashindwa kwenye Ubuntu mpya zaidi

Dhana inayofaa ni kwamba .deb kutoka lango lako la GlobalProtect imeharibika, au kwamba mtoa huduma ametoa ujenzi mbovu. Kwa kawaida sivyo. Kiolesura cha Linux cha mtoa huduma bado kinaunganishwa na Qt5 WebKit, na matoleo mapya zaidi ya Ubuntu hayaitoi tena, kwa hivyo kifurushi kinaomba maktaba ambayo usambazaji wako uliondoa kwa makusudi. Hiyo ni kutokulingana kwa ufungashaji, si upakuaji ulioharibika, na tofauti hiyo huamua ikiwa utatumia mchana mzima kulazimisha vifurushi au dakika kumi kuchagua mteja mwingine.

Faili ya .deb haijaharibika

Utegemezi ambao usambazaji haubebi tena ni matokeo ya kawaida ya maktaba kuondolewa kazini. Qt5 WebKit iliondolewa kutoka kumbukumbu za Ubuntu za baadaye na kutoka Debian, na sababu ilikuwa utunzaji wa usalama na si ukosefu wa mahitaji. Hilo linapotokea, kila kifurushi kinachounganishwa nayo hakinaweza kusakinishwa tena, hata kama kilijengwa vizuri kiasi gani.

Hitilafu mbili zinaripotiwa kama hitilafu moja na sivyo. Kwenye toleo lisilo na maktaba, kisakinishi kinasimama kwenye utegemezi usiotoshelezwa. Kwenye toleo ambalo mteja hujisakinisha kisha anashindwa wakati wa kuingia, unaona tatizo la kupeana mkono la TLS au SAML ndani ya sehemu ya kivinjari iliyopachikwa. La kwanza ni ufungashaji; la pili ni wakati wa utekelezaji, na hakuna hata moja inayotengenezwa kwa kunakili maktaba za zamani kwenye eneo la kazi la kisasa.

Thibitisha utegemezi badala ya kuulazimisha

Sakinisha kifurushi kwa uwazi ili chombo kitaje utegemezi usiotatuliwa badala ya kukupa muhtasari. Kisha uliza kama toleo lako lina mgombea yeyote, kwa sababu „haipatikani hapa” na „haipo kwa muda kwenye kioo hiki” husababisha maamuzi tofauti kabisa:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Ikiwa apt-cache policy haitaripoti mgombea yeyote, acha kujaribu kuisakinisha na anza kuchagua njia mbadala. Kinachovutia si jina la kifurushi kinachokosekana; kinachovutia ni ukweli kwamba grafu ya utegemezi ya mtoa huduma haikusogea pamoja na usambazaji unaotumiwa na watumiaji wako.

Kulazimisha vifurushi vya zamani hufanya nini kwa eneo la kazi

Suluhisho linalozunguka ni kuvuta maktaba kutoka toleo la zamani. Kwenye Ubuntu ya sasa hiyo huishia kwenye mgongano wa toleo dogo la Qt5: vifurushi vya zamani huvuta libqt5core5t64 nyuma, kisha vifurushi vya KDE na PyQt vilivyosakinishwa huanza kudai toleo la ABI ambalo maktaba iliyopunguzwa haitoi tena. Matokeo ni usasishaji wa sehemu unaovunja programu zisizohusiana, ambao ni mchana mbaya zaidi kuliko ule ulioanzia.

Matokeo hayo yanatarajiwa na si bahati mbaya. Matarajio ya ABI ya Qt kwa matoleo madogo ni magumu, na usambazaji mmoja huleta seti moja iliyoshikamana. Kuchanganya maktaba moja kutoka toleo lingine si marekebisho lengwa; ni usasishaji wa pili, usiodhibitiwa vizuri.

Ushauri huo huo unatumika kwa lahaja ya wakati wa utekelezaji ya hitilafu hiyo. Kupunguza kiwango cha usalama cha OpenSSL kote mfumoni ili kupeana mkono kwa mteja wa zamani kufanikiwa hubadilisha kila muunganisho wa TLS kwenye mashine ili kutengeneza programu moja, ikiwa ni pamoja na kidhibiti cha vifurushi utakachohitaji pale kitu kingine kinapovunjika.

openconnect huzungumza itifaki hiyo

OpenConnect hutekeleza itifaki ya GlobalProtect moja kwa moja, na maelezo ya itifaki yanaeleza wito na mgawanyiko kati ya violesura viwili vya seva. Lango husambaza mipangilio na orodha ya gateway; gateway humaliza handaki:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Ikiwa lango halijumuishi gateway unayohitaji, --usergroup=gateway au URL inayoishia na /gateway huruka hatua ya lango. Iwapo gateway kadhaa zinatolewa, --authgroup=NAME huchagua kati yao. Uthibitishaji ni jina la mtumiaji na nenosiri, kwa hiari na cheti cha mteja, na gateway za SAML kwa vitendo hufanya kazi kupitia network-manager-openconnect badala ya mstari wa amri ulioandikwa kwa mkono.

Gateway yenye sera kali ya posture inaweza pia kuhitaji ripoti ya HIP kabla ya kutoa handaki. OpenConnect inaweza kuizalisha na kuiwasilisha, lakini ikiwa gateway inadai orodha ambayo haiwezi kuizalisha, hakuna bendera inayobadilisha sera hiyo; huo ni uamuzi wa upande wa seva.

Thibitisha handaki, na ujue openconnect haitarekebisha nini

Angalia kile handaki ilichotumia kwa kweli badala ya kuamini ujumbe wa mafanikio. Gateway hutuma uelekezaji na usanidi kama XML na mteja huzitumia, kwa hivyo njia inayokosekana ni tatizo la usanidi au uchaguzi na si hitilafu ya mteja:

ip -4 addr show
ip route
resolvectl status

MTU inastahili mtazamo wake. Usanidi wa GlobalProtect daima huripoti MTU ya sifuri, kwa hivyo mteja hukadiria moja kutoka gharama ya ufungashaji. Uhamishaji mkubwa unaokwama wakati maombi madogo yanapita ni dalili ya kawaida, na dawa ni MTU dhahiri kwenye muunganisho badala ya kuzima ugunduzi wa njia.

IPv6 ni hadithi nyingine tena. PAN iliiongeza katika GlobalProtect 4.0, na msaada wa OpenConnect unaelezwa kama wa majaribio kuanzia toleo la 9.0, kwa hivyo usidhani familia ya anwani inafanya kazi kama IPv4 kwa sababu tu handaki iliinuka. Na ikiwa gateway inalazimisha ukaguzi wa posture ambao mteja wa chanzo huria hawezi kuutimiza, endesha mteja wa mtoa huduma kwenye toleo la LTS linaloauniwa, kwenye mashine pepe ikiwa kituo chako cha kazi kimesonga mbele. Hiyo huweka eneo la kazi salama na kuweka utegemezi wa zamani ndani ya mpaka unaoweza kuujenga upya.