Check Point VPN в Linux: SNX не се изтегля и не се инсталира

Търсите клиента на Check Point за Linux и не намирате страница за изтегляне с инсталатор. Тази липса не е пропуск в пакетирането. Клиентът за отдалечен достъп на Check Point за Linux е SSL Network Extender, SNX, и шлюзът ви го дава, след като се удостоверите в браузър. Щом това се намести, останалата бърканица придобива смисъл, включително защо почти всяка публикация за него е от години.

Митът: има клиент, който изтегляте и инсталирате

Очакването идва от всеки друг доставчик. OpenVPN, WireGuard и повечето търговски клиенти публикуват пакет или хранилище, а инсталирането е локално решение, което вземате сами. Check Point не работи така за Linux. В официалните изтегляния за текущите версии на шлюза няма самостоятелен инсталатор, затова търсенето води до стари форумни теми и огледала на трети страни.

Тези огледала са по-лоши от безполезни, защото компилацията трябва да съответства на шлюза, който я предоставя.

Какво всъщност е SNX и откъде идва

SNX е клиент за команден ред, чийто двоичен файл е snx, и се инсталира през сесия, която стартирате в браузъра срещу шлюза. Исторически Java аплет го изтегляше и инсталираше, след като приемете подканата. Механизмът се е променял през годините, източникът — не. Шлюзът предоставя компилацията, която съответства на самия него, затова версиите на клиента и шлюза вървят заедно и затова клиент, копиран от стар пакет, работи само докато шлюзът още говори с него.

Това също означава, че шлюзът трябва да е готов, преди каквато и да е работа по клиента да има значение. Mobile Access Software Blade трябва да е лицензиран и конфигуриран, защото без него няма портал, от който да се инсталира. Никакво усилие от страна на клиента не създава сесия срещу шлюз, който не предлага такава.

Насочете клиента към шлюза с вашето потребителско име и прочетете какво съобщава:

snx -s vpn.example.com -u your.name

Ограничението е поддръжката на дистрибуции, не инсталаторът

Списъкът с поддържани дистрибуции на доставчика за SNX е кратък и стар. В публикуваната статия той спира около Ubuntu 17.04, заедно с няколко издания на openSUSE, Fedora и RHEL от същата епоха, и все още изброява Ubuntu 12.10. Това говори как остарява списъкът, а не какво е нужно на вашата машина. Актуална дистрибуция просто не фигурира в него.

Очаквайте несъответствия в библиотеките, преди да очаквате работещ тунел. Обичайните три са липсващи 32-битови библиотеки на 64-битова система, версия на OpenSSL, с която двоичният файл никога не е бил свързан, и модул на ядрото, който клиентът се опитва да компилира. Четете липсващите символи, вместо да гадаете пакети:

ldd $(command -v snx) | grep "not found"

След това проверете статията за поддръжка за изданието на шлюза, към което се свързвате наистина. Списък в блог не е декларация за съвместимост и по-нова дистрибуция не означава по-нов клиент.

Детайлът с X11, който прави работата без екран възможна

SNX се нуждае от библиотеки X11, но не от работещ X сървър. Тази разлика е цялата разлика между клиент, който работи през SSH на хост без екран, и такъв, който изглежда забил без изход. Инсталирайте библиотечния пакет, който вашата дистрибуция предоставя, а не пакет, копиран от друго издание, и стартирайте клиента от сесията, която се нуждае от тунела.

След като се свърже,прочетете интерфейса и маршрутите, преди да се доверите на което и да е от двете:

ip -brief addr show
ip route show

SNX създава тунелен интерфейс и инсталира маршрутите, които порталът определя. Тези маршрути са решение на шлюза, а не ваше, затова липсващ префикс е проблем с профила от страна на шлюза, а не дефект в клиента. Проверете DNS едновременно, защото профилите със split-tunnel често налагат резолвер, който не очаквате.

Когато SNX е напълно грешният отговор

Шлюзовете на Check Point могат също да терминират IPsec иL2TPвръзки от клиент към сайт, и те работят със strongSwan, Libreswan или L2TP плъгина на NetworkManager. Това е конфигурация на шлюза, не клиентски трик. Ако шлюзът публикува само портала Mobile Access,IPsec клиентът няма с какво да преговаря, а журналът показва изтечен срок вместо неуспех при удостоверяване. Питайте кои блейдове за отдалечен достъп са включени, преди да инсталирате каквото и да е друго.

Всяко ограничение тук живее от страна на шлюза: блейдът, лицензът, компилацията на клиента и профилът на маршрутите. CLI работи от години. Това, което се чупи, е предположението, че поддръжката за Linux означава пакет, който притежавате и контролирате.