Linux (MacOS) 使用openconnect连接GlobalProtect SSL VPN网络
公司GlobalProtect提供的vpn客户端有windows版本和MacOS版本，但没有linux版本。
本文以debian 10为例通过安装openconnect实现命令行连接(debian 10 对应ubuntu 18.04）。
1、安装openconnect (8.0+的版本才支持gp协议）
sudo apt install openconnect
centos7需要先安装epel源，再安装openconnect
macos需要先安装Homebrew，然后通过brew安装openconnect
2、创建配置文件
cat /etc/openconnect/gp.conf
background
os=linux-64
protocol=gp
useragent='GlobalProtect (unknown version) CFNetwork/1240.0.4 Darwin/20.6.0' #抓包获取到的mac客户端UA
script=/usr/share/vpnc-scripts/vpnc-script
passwd-on-stdin
pid-file=/var/run/gp.pid
syslog
verbose
user=$<VPN_USER> #自行替换
3、连接
sudo openconnect --config=/etc/openconnect/gp.conf vpn.domain.io #自行替换接入域名，输入密码后即可连接。
4、完善
由于公司VPN连接成功后会更改默认路由，所有流量都会经过VPN，出口IP会变成办公网络的出口IP。如果linux机器是公有云服务器，比如阿里云ECS，由于默认路由的变更，会导致无法通过ssh连接。
针对默认路由的变更做如下操作：再连接前记录默认路由网关和网卡设备，连接后再改回来。连接脚本及相关配置如下：
连接脚本
cat vpn-gp.sh
#!/bin/bash
export GET_STAT_NET_GW=$(ip route list|grep default|head -n 1|awk '{print $3}')
export GET_STAT_NET_DEV=$(ip route list|grep default|head -n 1|awk '{print $5}')
USERNAME=$<vpn_user_name> #自行替换
PASSWORD=$<vpn_user_password> #自行替换
CFGPATH=/etc/openconnect
sudo openconnect \
--config=$CFGPATH/gp.conf \
--user=$USERNAME \
--passwd-on-stdin <<< "$PASSWORD" \
vpn.domain.io #自行替换VPN接入域名
sudo bash $CGPATH/change_route.sh #如果不需要更改默认路由，可将此行注释
配置文件
cat /etc/openconnect/gp.conf
background
os=linux-64
protocol=gp
useragent='GlobalProtect (unknown version) CFNetwork/1240.0.4 Darwin/20.6.0' #抓包获取到的mac客户端UA
script=/usr/share/vpnc-scripts/vpnc-script
pid-file=/var/run/gp.pid
syslog
verbose
更新路由 （macOS需要先通过brew 安装 iproute2mac 才能使用ip route）
cat /etc/openconnect/change_route.sh
#!/bin/bash
for C in {1..60}
do
if [ -z "$(ip route list|grep '100.100.'|awk '{print $1}')" ] ; then #根据VPN实际IP替换100.100.
sleep 1
continue
else
break
fi
done
sleep 1
TUNDEV=$(ip route list|grep '100.100'|head -n 1|awk '{print $3}')
route del default dev $TUNDEV
sudo ip route add default gw $GET_STAT_NET_GW dev $GET_STAT_NET_DEV#改完默认路由后，需要手动添加办公网络可访问的内部服务和办公网络路由：
route add -host 10.20.30.40 dev $TUNDEV
route add -host 10.20.40.0/24 dev $TUNDEV
以下连接脚本和配置适用于MacOS（已在macOS Big Sur 11.6.2验证）：
openconnect for macOS 连接脚本：
cat ~/bin/vpn-gp.sh
#!/bin/bash
export GET_STAT_NET_GW=$(ip route list|grep default|head -n 1|awk '{print $3}')
export GET_STAT_NET_DEV=$(ip route list|grep default|head -n 1|awk '{print $NF}')
USERNAME=$<vpn_user_name> #自行替换
PASSWORD=$<vpn_user_password> #自行替换
CFGPATH=/usr/local/etc/openconnect
sudo openconnect \
--config=$CFGPATH/gp.conf \
--printcookie \
-vvvv \
--user=$USERNAME
--passwd-on-stdin <<< "$PASSWORD"
vpn.domain.io #自行替换vpn接入域名
sleep 1
sudo bash /usr/local/etc/openconnect/change_route.sh
openconnect for macOS 配置文件
cat /usr/local/etc/openconnect/gp.conf
background
os=mac-intel
protocol=gp
useragent='GlobalProtect (unknown version) CFNetwork/1240.0.4 Darwin/20.6.0' #抓包获取到的mac客户端的UA
script=/usr/local/etc/vpnc-script
#passwd-on-stdin
pid-file=/usr/local/var/run/gp.pid
syslog
verbose
openconnect for macOS 路由更新脚本 （需要先通brew 安装iproute2mac）：
cat /usr/local/etc/openconnect/change_route.sh
#!/bin/bash
for C in {1..60}
do
if [ -z "$(ip route list|grep '100.100.'|awk '{print $1}')" ] ; then #根据VPN实际IP网段替换100.100.
sleep 1
continue
else
break
fi
done
sleep 1
TUNDEV=$(ip route list|grep '100.100'|grep -v default|head -n 1|awk '{print $3}')
sudo ip route del 0.0.0.0/0 dev $TUNDEV
sudo ip route add default gw $GET_STAT_NET_GW
#添加办公网络可访问的服务路由
sudo ip route add 10.20.30.40 dev $TUNDEV
sudo ip route add 10.20.40.0/24 dev $TUNDEV
