Linux üçün Check Point VPN: SNX yüklədiyiniz fayl deyil

Check Point-in Linux müştərisini axtarır və üstündə quraşdırıcı olan heç bir yükləmə səhifəsi tapmırsınız. Bu yoxluq qablaşdırma boşluğu deyil. Check Point-in Linux üçün uzaqdan giriş müştərisi SSL Network Extender, yəni SNX-dır və şlüz onu brauzerdə kimliyinizi təsdiqlədikdən sonra sizə verir. Bu yerinə oturanda qalan qarışıqlıq da məna qazanır, o cümlədən niyə onun haqqında demək olar hər yazının illərlə köhnə olması.

Mif: yükləyib quraşdırdığınız bir müştəri var

Bu gözlənti bütün digər satıcılardan gəlir. OpenVPN, WireGuard və əksər kommersiya müştəriləri paket və ya depo dərc edir və birini quraşdırmaq təkbaşına verdiyiniz yerli qərardır. Check Point Linux üçün bu cür işləmir. Cari şlüz versiyaları üçün rəsmi yükləmələrdə ayrıca quraşdırıcı yoxdur, ona görə də onu axtarmaq yalnız köhnə forum mövzuları və üçüncü tərəf güzgüləri çıxarır.

O güzgülər faydasızdan da pisdir, çünki quruluş onu təqdim edən şlüzə uyğun olmalıdır.

SNX əslində nədir və haradan gəlir

SNX binar faylı snx olan əmr sətri müştərisidir və o, brauzerdə şlüzə qarşı başlatdığınız sessiya üzərindən quraşdırılır. Tarixən Java appleti sorğunu təsdiqlədikdən sonra onu yükləyib quraşdırırdı. Mexanizm illərlə dəyişdi, mənbə dəyişmədi. Şlüz özünə uyğun quruluşu təqdim edir, buna görə müştəri və şlüz versiyaları bir-birini izləyir və buna görə köhnə paketdən kopyalanmış müştəri yalnız şlüz onunla danışdığı müddət işləyir.

Bu həm də o deməkdir ki, hər hansı müştəri işi əhəmiyyət kəsb etməzdən əvvəl şlüz hazır olmalıdır. Mobile Access Software Blade lisenziyalanmalı və konfiqurasiya edilməlidir, çünki onsuz quraşdırma üçün portal yoxdur. Müştəri tərəfindəki heç bir səy portal təqdim etməyən şlüzə qarşı sessiya yaratmır.

Müştərini istifadəçinizlə şlüzə yönəldin və onun nə bildirdiyini oxuyun:

snx -s vpn.example.com -u your.name

Məhdudiyyət quraşdırıcı deyil, distributiv dəstəyidir

Satıcının SNX üçün dəstəklənən distributiv siyahısı qısa və köhnədir. Dərc olunmuş məqalədə siyahı təxminən Ubuntu 17.04-də dayanır, həmin dövrdən bir neçə openSUSE, Fedora və RHEL buraxılışı ilə yanaşı, və hələ də Ubuntu 12.10-u sadalayır. Bu, siyahının necə qocaldığını deyir, maşınınızın nəyə ehtiyacı olduğunu deyil. Müasir distributiv sadəcə orada yoxdur.

İşləyən tunel gözləməzdən əvvəl kitabxana uyğunsuzluqları gözləyin. Adi üç hal 64 bit sistemdə çatışmayan 32 bit kitabxanalar, binar faylın heç vaxt bağlanmadığı OpenSSL versiyası və müştərinin qurmağa çalışdığı nüvə moduludur. Paketləri təxmin etmək əvəzinə çatışmayan simvolları oxuyun:

ldd $(command -v snx) | grep "not found"

Sonra həqiqətən qoşulduğunuz şlüz buraxılışı üçün dəstək məqaləsinə baxın. Bloqun siyahısı uyğunluq bəyanatı deyil və daha yeni distributiv daha yeni müştəri demək deyil.

Ekransız işi mümkün edən X11 detalı

SNX X11 kitabxanalarına ehtiyac duyur, amma işləyən X serverinə yox. Bu fərq SSH üzərən ekransız hostda işləyən müştəri ilə çıxış vermədən asılmış kimi görünən müştəri arasındakı bütün fərqdir. Başqa buraxılışdan kopyalanmış dəstə yerinə distributivinizin təqdim etdiyi kitabxana paketini quraşdırın və müştərini tunelə ehtiyacı olan sessiyadan işə salın.

Qoşulduqdan sonrainterfeysi və marşrutları hər ikisinə güvənməzdən əvvəl oxuyun:

ip -brief addr show
ip route show

SNX tunel interfeysi yaradır və portalın təyin etdiyi marşrutları quraşdırır. Bu marşrutlar sizin deyil, şlüzün qərarıdır, ona görə çatışmayan prefiks müştəri xətası deyil, şlüz tərəfində profil problemidir. DNS-i də eyni vaxtda yoxlayın, çünki split-tunnel profilləri çox vaxt gözləmədiyiniz rezolveri ötürür.

SNX tamamilə yanlış cavab olanda

Check Point şlüzləri həmçinin IPsec vəL2TPmüştəridən sahəyə bağlantılarını sonlandıra bilər və bunlar strongSwan, Libreswan və ya NetworkManager-in L2TP plagini ilə işləyir. Bu şlüz konfiqurasiyasıdır, müştəri hiyləsi deyil. Əgər şlüz yalnız Mobile Access portalını dərc edirsə,IPsec müştərisinin danışıq aparacaq heç nəyi yoxdur, və jurnal kimlik doğrulama uğursuzluğu yerinə fasilə göstərir. Başqa bir şey quraşdırmazdan əvvəl hansı uzaqdan giriş blade-lərinin aktiv olduğunu soruşun.

Buradakı hər məhdudiyyət şlüz tərəfindədir: blade, lisenziya, müştəri quruluşu və marşrut profili. CLI illərdir işləyir. Pozulan şey Linux dəstəyinin sizin sahib olduğunuz və idarə etdiyiniz paket demək olduğu fərziyyəsidir.