GlobalProtect บน Linux Mint: ต้องยืนยันอะไรก่อนติดตั้ง

คุณเปิดพอร์ทัลในเบราว์เซอร์ เข้าสู่ระบบ แล้วหน้าดาวน์โหลดก็เสนอไคลเอนต์ที่เมทริกซ์ของผู้ขายไม่ได้ระบุไว้สำหรับดิสทริบิวชันของคุณ นั่นคือจังหวะที่ควรหยุดและถามคำถาม ไม่ใช่จังหวะที่จะลองแพ็กเกจต่อไป การตัดสินใจอย่างแรกคือสภาพแวดล้อมปลายทางที่ได้รับการสนับสนุน และเรื่องที่ว่าไฟล์ DEB แตกได้หรือไม่ก็ไม่ใช่ส่วนหนึ่งของสิ่งนั้น เริ่มจากพอร์ทัลแล้วค่อยขยับออกไป

นี่คือลำดับที่ผมจะไล่กับเจ้าของ VPN ก่อนติดตั้งอะไรสักอย่าง

1. ขอพอร์ทัลและรุ่นที่ได้รับอนุมัติ

ขอที่อยู่พอร์ทัล รุ่นไคลเอนต์ที่องค์กรใช้งานจริง และข้อกำหนดการยืนยันตัวตนจากเจ้าของ URL พอร์ทัลจากบันทึกของเพื่อนร่วมงานไม่ใช่สิ่งเดียวกับที่ได้รับอนุมัติ และรุ่นก็สำคัญเพราะฟีเจอร์ต่างกันระหว่างรุ่น

จากนั้นเปิดพอร์ทัลและดูว่ามีอะไรสำหรับ Linux หน้าดาวน์โหลดมักสะท้อนการตั้งค่าของเกตเวย์ ไม่ใช่สถานะการสนับสนุนดิสทริบิวชันของคุณ แพ็กเกจที่เสนอมาจึงอาจเป็นชุดค่าผสมที่ไม่ได้รับการสนับสนุน จดหมายเลขรุ่นที่หน้าเว็บระบุไว้แล้วเทียบกับรุ่นที่ติดตั้งไปแล้ว

2. อ่านเมทริกซ์ความเข้ากันได้เป็นตาราง ไม่ใช่คำขวัญ

เมทริกซ์ความเข้ากันได้ของผู้ขายจับคู่รุ่นของ Linux กับรุ่นของแอป และแยกสถาปัตยกรรมออกจากการสนับสนุนอินเทอร์เฟซ รายการ Ubuntu ไม่ได้ประกาศว่าดิสทริบิวชันทุกรุ่นที่สืบจาก Ubuntu ได้รับการสนับสนุน สถานีงาน Mint จึงต้องมีคำตอบของตัวเอง ตรวจสอบรุ่นที่แน่นอน สถาปัตยกรรมของโปรเซสเซอร์ และดูว่า CLI หรือ GUI คืออินเทอร์เฟซที่ได้รับการสนับสนุนสำหรับชุดค่าผสมนั้น

เมื่อเมทริกซ์ระบุรุ่นของ Ubuntu แต่ไม่ระบุ Mint คำตอบที่ตรงไปตรงมาสำหรับสถานีงานนั้นคือไม่ ไม่ว่าแพ็กเกจจะติดตั้งเรียบร้อยแค่ไหน ทางเลือกที่ได้รับการสนับสนุนคือดิสทริบิวชันที่เมทริกซ์ระบุไว้จริง หรือรุ่นที่เจ้าของใช้งานอยู่แล้วบนหนึ่งในนั้น

3. จับคู่ขั้นตอนการยืนยันตัวตนกับประเภทไคลเอนต์

เส้นทางการยืนยันตัวตนเป็นตัวกำหนดว่าไคลเอนต์ใดจะเข้าสู่ระบบได้สำเร็จ ขั้นตอน SAML ต้องใช้เบราว์เซอร์ และการสนับสนุน SAML ใน Linux CLI มาพร้อม GlobalProtect app 6.2.1 CLI รุ่นเก่าจึงไม่สามารถทำขั้นตอนเดียวกับ GUI ได้

ถามว่าเกตเวย์บังคับขั้นตอนใดก่อนเลือกระหว่าง CLI กับ GUI เพราะคำตอบไม่ใช่เรื่องความชอบ การเข้าสู่ระบบด้วยใบรับรอง ข้อความ MFA และการประเมินอุปกรณ์ใด ๆ ล้วนเพิ่มขั้นตอนที่ไคลเอนต์ต้องรองรับ ไคลเอนต์ที่เชื่อมต่อได้แล้วไม่ผ่านการประเมินดูเหมือนเครือข่ายขัดข้อง แต่ไม่ใช่

4. รู้ว่าไคลเอนต์ของบุคคลที่สามหมดทางเลือกตรงไหน

ไคลเอนต์ของบุคคลที่สามใช้ได้ก็ต่อเมื่อผู้ดูแลระบบสนับสนุนโปรโตคอลและชุดฟีเจอร์ของมัน ความเข้ากันได้กับ XAuth/IPsec แบบเก่าเป็นการจัดวางเฉพาะของเกตเวย์ ไม่ใช่การอนุญาตให้เปลี่ยนแอปพลิเคชันใดที่เรียกตัวเองว่าไคลเอนต์ SSL VPN การตรวจสอบเซิร์ฟเวอร์ ข้อกำหนดอุปกรณ์ และข้อมูลรับรองยังคงเหมือนที่องค์กรกำหนดไว้ การทำให้อ่อนลงเพื่อให้เข้ากับไคลเอนต์ในเครื่องคือการเปลี่ยนนโยบายที่ติดป้ายความเข้ากันได้

การทดสอบที่เจ้าของจะใช้สั้น ๆ คือ เกตเวย์บังคับ SAML ข้อความ MFA หรือการประเมินอุปกรณ์ที่ไคลเอนต์นี้ทำไม่ได้หรือไม่ ถ้าจำเป็นต้องมีอย่างใดอย่างหนึ่ง ความเข้ากันได้ระดับโปรโตคอลก็ช่วยไม่ได้ และการสนทนาก็ควรไปที่ปลายทางที่ได้รับการสนับสนุน

5. ส่งคำตอบกลับไปที่เจ้าของ

ยกชุดค่าผสมที่เจาะจงไปหาเจ้าของ VPN ทั้งดิสทริบิวชันและรุ่น สถาปัตยกรรม อินเทอร์เฟซ ขั้นตอนการยืนยันตัวตน และรุ่นไคลเอนต์ที่คุณเสนอ รายการเท่านี้สั้นพอที่จะตอบได้ในข้อความเดียว

ถ้าชุดค่าผสมไม่ได้รับการสนับสนุน คำตอบที่ได้รับการสนับสนุนมักเป็นสภาพแวดล้อมปลายทางอีกชุดที่ได้รับอนุมัติ ไม่ใช่ทางลัด ขอสิ่งนั้นอย่างชัดเจน เพราะคำขอที่ตั้งว่า ทำให้ไคลเอนต์ของผมใช้งานได้ จะเชิญให้เปลี่ยนเกตเวย์ ขณะที่คำขอที่ตั้งว่า พวกคุณสนับสนุนปลายทางใดสำหรับผู้ใช้คนนี้ จะเชิญให้ตัดสินใจ ไม่ว่าจะทางไหน จดสิ่งที่ตกลงกันไว้เพื่อให้คนถัดไปไม่ต้องไล่ซ้ำ