Check Point VPN у Linux: SNX не спампоўваецца і не ўсталёўваецца

Вы шукаеце кліент Check Point для Linux і не знаходзіце старонкі спампоўкі з усталёўшчыкам. Гэтая адсутнасць — не прагал у пакаванні. Кліент аддаленага доступу Check Point для Linux — гэта SSL Network Extender, SNX, і шлюз выдае яго вам пасля таго, як вы пацвердзіце сябе ў браўзеры. Калі гэта ўкладзецца ў галаве, астатняя блытаніна становіцца зразумелай, у тым ліку чаму амаль кожны пост пра гэта шматгадовы.

Міф: ёсьць кліент, які вы спампоўваеце і ўсталёўваеце

Гэтае чаканне прыйшло ад усіх іншых пастаўшчыкоў. OpenVPN, WireGuard і большасць камерцыйных кліентаў публікуюць пакет або рэпазітар, і ўсталёўка — гэта лакальнае рашэнне, якое вы прымаеце самі. Check Point для Linux так не працуе. У афіцыйных спампоўках для бягучых версій шлюза няма асобнага ўсталёўшчыка, таму пошук вядзе толькі да старых форумных тэмаў і люстэркаў трэціх бакоў.

Гэтыя люстэркі горш за бескарысныя, бо зборка павінна адпавядаць шлюзу, які яе аддае.

Што такое SNX насамрэч і адкуль ён бярэцца

SNX — кліент каманднага радка, бінарнік якога называецца snx, і ён усталёўваецца праз сеанс, які вы пачынаеце ў браўзеры супраць шлюза. Гістарычна Java-аплет спампоўваў і ўсталёўваў яго пасля вашай згоды з запытам. Механізм за гады змяніўся, крыніца — не. Шлюз аддае тую зборку, што адпавядае яму самому, таму версіі кліента і шлюза ідуць парамі, і таму кліент, скапіяваны за старога пакета, працуе толькі пакуль шлюз з ім размаўляе.

Гэта таксама значыць, што шлюз павінен быць гатовы раней, чым любая праца з кліентам набудзе сэнс. Mobile Access Software Blade трэба ліцэнзаваць і наладзіць, бо без яго няма партала, адкуль усталёўваць. Ніякія намаганні на баку кліента не дадуць сеанс супраць шлюза, які яго не прапануе.

Накіруйце кліент на шлюз за сваім карыстальнікам і прачытайце, што ён паведамляе:

snx -s vpn.example.com -u your.name

Абмежаванне — падтрымка дыстрыбутываў, а не ўсталёўшчык

Спіс падтрымоўваных дыстрыбутываў для SNX у пастаўшчыка кароткі і стары. У апублікаваным артыкуле ён спыняецца прыкладна на Ubuntu 17.04, побач з некалькімі выпускамі openSUSE, Fedora і RHEL той жа эпохі, і ўсё яшчэ згадвае Ubuntu 12.10. Гэта кажа пра тое, як старэе спіс, а не пра тое, што патрэбна вашай машыне. Сучаснага дыстрыбутыва ў ім проста няма.

Чакайте несупадзення бібліятэк раней, чым працоўны тунель. Звычайныя тры: адсутныя 32-бітныя бібліятэкі на 64-бітнай сістэме, версія OpenSSL, з якой бінарнік ніколі не звязваўся, і модуль ядра, які кліент спрабуе збудаваць. Чытайце адсутныя сімвалы замест здагадак пра пакеты:

ldd $(command -v snx) | grep "not found"

Затым праверце артыкул падтрымкі для таго выпуску шлюза, да якога вы насамрэч падключаецеся. Спіс у блогу — не заява пра сумяшчальнасць, і навейшы дыстрыбутыў не азначае навейшы кліент.

Дробязь пра X11, якая робіць працу без экрана магчымай

SNX патрабуе бібліятэк X11, але не запушчанага X-сервера. Гэтая розніца — і ёсьць уся розніца паміж кліентам, што працуе праз SSH на хасце без экрана, і тым, што выглядае як завіслы без вываду. Усталюйце пакет бібліятэк ад свайго дыстрыбутыва, а не набор, скапіяваны з іншага выпуску, і запускайце кліент з таго сеанса, якому патрэбны тунель.

Пасля падключэнняпрачытайце інтэрфейс і маршруты, перш чым давяраць любому з іх:

ip -brief addr show
ip route show

SNX стварае тунельны інтэрфейс і ўсталёўвае маршруты, якія вызначае партал. Гэтыя маршруты — рашэнне шлюза, а не ваша, таму адсутны прэфікс — гэта праблема профілю на баку шлюза, а не памылка кліента. Праверце DNS адначасова, бо профілі split-tunnel часта прапіхваюць рэзалвер, якога вы не чакалі.

Калі SNX — цалкам няправільны адказ

Шлюзы Check Point могуць таксама тэрмінаваць злучэнні IPsec іL2TPад кліента да пляцоўкі, і яны працуюць з strongSwan, Libreswan або L2TP-плагінам NetworkManager. Гэта канфігурацыя шлюза, а не кліенцкі трук. Калі шлюз публікуе толькі партал Mobile Access,кліенту IPsec няма з чым весці перамовы, і журнал паказвае таймаўт замест збою аўтэнтыфікацыі. Спытайце, якія блэйды аддаленага доступу ўключаныя, перш чым ставіць што-небудзь яшчэ.

Усе абмежаванні тут жывуць на баку шлюза: блэйд, ліцэнзія, зборка кліента і профіль маршрутаў. CLI працуе гадамі. Ламаецца здагадка, што падтрымка Linux азначае пакет, якім вы валодаеце і керуеце.