GlobalProtect trên Linux Mint: cần xác nhận gì trước khi cài đặt

Bạn mở cổng trong trình duyệt, đăng nhập, và trang tải xuống đề nghị một ứng dụng khách mà ma trận của nhà cung cấp không liệt kê cho bản phân phối của bạn. Đó là lúc nên dừng lại và đặt câu hỏi, không phải lúc cứ thử gói đó. Quyết định đầu tiên là môi trường điểm cuối được hỗ trợ, và việc một tệp DEB có giải nén được hay không không nằm trong đó. Hãy bắt đầu từ cổng và đi ra ngoài.

Đây là trình tự tôi sẽ đi qua cùng chủ sở hữu VPN trước khi cài bất cứ thứ gì.

1. Yêu cầu cổng và bản phát hành đã được phê duyệt

Lấy từ chủ sở hữu địa chỉ cổng, bản phát hành ứng dụng khách mà tổ chức thực sự triển khai, và các yêu cầu xác thực. URL cổng lấy từ ghi chú của đồng nghiệp không giống với bản đã được phê duyệt, và bản phát hành quan trọng vì các tính năng khác nhau giữa các phiên bản.

Sau đó mở cổng và xem nó cung cấp gì cho Linux. Trang tải xuống thường phản ánh cấu hình của cổng nối chứ không phải trạng thái hỗ trợ của bản phân phối bạn dùng, nên gói được đề nghị vẫn có thể là một tổ hợp không được hỗ trợ. Ghi lại số bản phát hành mà trang nêu và so với bản đã triển khai.

2. Đọc ma trận tương thích như một bảng, không phải như khẩu hiệu

Ma trận tương thích của nhà cung cấp liệt kê các phiên bản Linux đối chiếu với bản phát hành ứng dụng và tách kiến trúc khỏi hỗ trợ giao diện. Một mục Ubuntu không tuyên bố mọi bản phân phối bắt nguồn từ Ubuntu đều được hỗ trợ, nên một máy trạm Mint cần câu trả lời riêng. Kiểm tra bản phát hành chính xác, kiến trúc bộ xử lý và liệu CLI hay GUI là giao diện được hỗ trợ cho tổ hợp đó.

Khi ma trận nêu một bản phát hành Ubuntu nhưng không nêu Mint, câu trả lời trung thực cho máy trạm đó là không, dù gói có được cài sạch đến đâu. Phương án được hỗ trợ là một bản phân phối mà ma trận thực sự nêu, hoặc một bản phát hành mà chủ sở hữu đã triển khai trên một trong số đó.

3. Khớp luồng xác thực với loại ứng dụng khách

Đường xác thực quyết định ứng dụng khách nào có thể hoàn tất đăng nhập. Luồng SAML cần trình duyệt, và hỗ trợ SAML trên CLI Linux đến cùng GlobalProtect app 6.2.1, nên CLI cũ hơn không thể hoàn tất cùng luồng như GUI.

Hỏi cổng nối bắt buộc luồng nào trước khi chọn giữa CLI và GUI, vì câu trả lời không phải sở thích. Đăng nhập bằng chứng chỉ, lời nhắc MFA và mọi đánh giá thiết bị đều thêm một bước mà ứng dụng khách phải hỗ trợ. Một ứng dụng khách kết nối rồi trượt đánh giá trông giống lỗi mạng nhưng không phải.

4. Biết nơi ứng dụng khách bên thứ ba không còn là lựa chọn

Ứng dụng khách bên thứ ba chỉ khả thi khi quản trị viên hỗ trợ giao thức và bộ tính năng của nó. Khả năng tương tác với XAuth/IPsec cũ là một cách bố trí cổng nối cụ thể, không phải sự cho phép thay thế bất kỳ ứng dụng nào tự gọi mình là ứng dụng khách SSL VPN. Việc xác minh máy chủ, yêu cầu thiết bị và thông tin đăng nhập vẫn giữ nguyên như tổ chức đã đặt. Làm yếu chúng để vừa với một ứng dụng khách cục bộ là thay đổi chính sách mang nhãn tương thích.

Bài kiểm tra mà chủ sở hữu sẽ áp dụng rất ngắn: cổng nối có bắt buộc SAML, lời nhắc MFA hay đánh giá thiết bị mà ứng dụng khách này không thể hoàn tất không? Nếu bất kỳ điều nào trong số đó là bắt buộc, không có khả năng tương tác ở mức giao thức nào cứu được việc thay thế, và cuộc trao đổi thuộc về các điểm cuối được hỗ trợ.

5. Trả câu trả lời lại cho chủ sở hữu

Mang tổ hợp cụ thể đến chủ sở hữu VPN: bản phân phối và bản phát hành, kiến trúc, giao diện, luồng xác thực và bản phát hành ứng dụng khách bạn đề xuất. Danh sách đó đủ ngắn để trả lời trong một tin nhắn.

Nếu tổ hợp không được hỗ trợ, câu trả lời được hỗ trợ thường là một môi trường điểm cuối đã được phê duyệt khác chứ không phải một cách lách. Hãy yêu cầu điều đó một cách rõ ràng, vì một đề nghị đặt vấn đề làm cho ứng dụng khách của tôi chạy được mời gọi thay đổi cổng nối, trong khi một đề nghị đặt vấn đề các anh hỗ trợ điểm cuối nào cho người dùng này mời gọi một quyết định. Dù thế nào, hãy ghi lại điều đã thống nhất để người sau không lặp lại cùng lộ trình.