Linux-এ Check Point VPN: SNX কোনো ডাউনলোড করা ইনস্টলার নয়

আপনি Check Point-এর Linux ক্লায়েন্ট খুঁজতে যান, আর দেখতে পান ইনস্টলারসহ কোনো ডাউনলোড পেজ নেই। এই অনুপস্থিতি প্যাকেজিংয়ের ফাঁক নয়। Check Point-এর Linux রিমোট-অ্যাক্সেস ক্লায়েন্ট হলো SSL Network Extender, অর্থাৎ SNX, আর ব্রাউজারে আপনার পরিচয় যাঁচায় করার পর গেটওয়ে সেটি আপনাকে দেয়। এটা বোধগম্য হলে বাকি বিভ্রান্তিও মিলে যায়, যার মধ্যে আছে কেন এ নিয়ে প্রায় প্রতিটি লেখাই বছরের পর বছর পুরোনো।

ভ্রান্ত ধারণা: এমন ক্লায়েন্ট আছে যা আপনি ডাউনলোড করে ইনস্টল করেন

এই প্রত্যাশা আসে অন্য সব ভেন্ডরের কাছ থেকে। OpenVPN, WireGuard আর বেশিরভাগ বানিজ্যিক ক্লায়েন্ট একটি প্যাকেজ বা রিপোজিটরি প্রকাশ করে, আর ইনস্টল করা হলো আপনার একার স্থানীয় সিদ্ধান্ত। Linux-এ Check Point সেভাবে কাজ করে না। বর্তমান গেটওয়ে সংস্করণের অফিসিয়াল ডাউনলোডে আলাদা কোনো ইনস্টলার নেই, তাই খুঁজলে পুরোনো ফোরাম থ্রেড আর তৃতীয় পক্ষের মিরর পাওয়া যায়।

ওই মিররগুলো নিষ্ফলতার চেয়েও খারাপ, কারন বিল্ডটিকে অবশ্যই যে গেটওয়ে এটি পরিবেশন করে তার সঙ্গে মিলতে হবে।

SNX আসলে কী, আর কোথা থেকে আসে

SNX একটি কমান্ড-লাইন ক্লায়েন্ট যার বাইনারির নাম snx, এবং এটি ইনস্টল হয় ব্রাউজারে গেটওয়ের বিপরীতে আপনি যে সেশন শুরু করেন তার মাধ্যমে। ঐতিহাসিকভাবে একটি Java অ্যাপলেট প্রম্পটে সম্মতি দেওয়ার পর এটি ডাউনলোড ও ইনস্টল করত। বছরের পর বছর প্রক্রিয়াটি বদলেছে, উৎস বদলায়নি। গেটওয়ে নিজের সঙ্গে মেলা বিল্ডটিই পরিবেশন করে, তাই ক্লায়েন্ট ও গেটওয়ের সংস্করণ একসঙ্গে চলে, আর তাই পুরোনো প্যাকেজ থেকে কপি করা ক্লায়েন্ট তখনই কাজ করে যখন গেটওয়ে তার সাথে কথা বলে।

এর মানে এইও যে ক্লায়েন্ট নিয়ে যেকোনো কাজের অর্থ হওয়ার আগে গেটওয়েকে তৈরি থাকতে হবে। Mobile Access Software Blade-কে লাইসেন্স ও কনফিগার করতে হবে, কারন এটি ছাড়া ইনস্টল করার কোনো পোর্টাল নেই। যে গেটওয়ে পোর্টাল দেয় না, তার বিপরীতে ক্লায়েন্টের দিকের কোনো পরিশ্রমই সেশন তৈরি করে না।

আপনার ব্যবহারকারী দিয়ে ক্লায়েন্টকে গেটওয়ের দিকে দেখান, আর এটি কী জানায় তা পড়ুন:

snx -s vpn.example.com -u your.name

সীমাবদ্ধতা ইনস্টলার নয়, ডিস্ট্রিবিউশন সাপোর্ট

SNX-এর জন্য ভেন্ডরের সমর্থিত ডিস্ট্রিবিউশনের তালিকা ছোটো ও পুরোনো। প্রকাশিত নিবন্ধে এটি Ubuntu 17.04-এর আশপাশে থেমে যায়, সঙ্গে একই যুগের কয়েকটি openSUSE, Fedora ও RHEL সংস্করণ, আর এখনও Ubuntu 12.10 তালিকাভুক্ত করে। এটি বলে তালিকাটি কীভাবে পুরোনো হয়, আপনার মেশিনের কী দরকার তা নয়। চলতি ডিস্ট্রিবিউশন সেখানে একেবারেই নেই।

কাজ করা টানেলের আশা করার আগে লাইব্রেরির অমিল আশা করুন। স্বাভাবিক তিনটি হলো 64 বিট সিস্টেমে অনুপস্থিত 32 বিট লাইব্রেরি, এমন OpenSSL সংস্করণ যার সঙ্গে বাইনারি কদোনো লিঙ্ক হয়নি, এবং একটি কার্নেল মডিউল যা ক্লায়েন্ট তৈরি করতে চায়। প্যাকেজ নিয়ে অনুমান না করে অনুপস্থিত সিম্বলগুলো পড়ুন:

ldd $(command -v snx) | grep "not found"

তারপর যে গেটওয়ে সংস্করণে আপনি সত্যি সংযোগ করেন, তার সাপোর্ট নিবন্ধটি দেখুন। ব্লগের তালিকা সামঞ্জস্যের বিবৃতি নয়, আর নতুনতর ডিস্ট্রিবিউশন নতুনতর ক্লায়েন্ট বোঝায় না।

X11-এর সেই খুঁটিনাটি যা হেডলেস কাজ সম্ভব করে

SNX-এর X11 লাইব্রেরি দরকার, কিন্তু চালু X সার্ভার নয়। এই পার্থক্যই হেডলেস হোস্টে SSH-এর ওপর কাজ করা ক্লায়েন্ট আর কোনো আউটপুট ছাড়াই আটকে থাকা মনে হওয়া ক্লায়েন্টের পুরো তফাৎ। অন্য সংস্করণ থেকে কপি করা বান্ডল নয়, আপনার ডিস্ট্রিবিউশন যে লাইব্রেরি প্যাকেজ দেয় সেটিই ইনস্টল করুন, আর যে সেশনের টানেল দরকার সেই সেশন থেকেই ক্লায়েন্ট চালান।

সংযোগ হওয়ার পরইন্টারফেস ও রুট দুটোর ওপরই ভরসা করার আগে সেগুলো পড়ুন:

ip -brief addr show
ip route show

SNX একটি টানেল ইন্টারফেস তৈরি করে এবং পোর্টাল যে রুটগুলো নির্ধারণ করে সেগুলো ইনস্টল করে। ওই রুটগুলো আপনার নয়, গেটওয়ের সিদ্ধান্ত, তাই অনুপস্থিত প্রিফিক্স ক্লায়েন্টের বাগ নয়, গেটওয়ের দিকের প্রোফাইল সমস্যা। একই সঙ্গে DNS দেখুন, কারন split-tunnel প্রোফাইল প্রায়ই এমন রিজলভার ঠেলে দেয় যা আপনি আশা করেননি।

যখন SNX একেবারেই ভুল উত্তর

Check Point গেটওয়ে IPsec ওL2TPক্লায়েন্ট-থেকে-সাইট সংযোগও টার্মিনেট করতে পারে, আর সেগুলো strongSwan, Libreswan বা NetworkManager-এর L2TP প্লাগিন দিয়ে কাজ করে। এটি গেটওয়ে কনফিগারেশন, ক্লায়েন্টের কৌশল নয়। যদি গেটওয়ে কেবল Mobile Access পোর্টাল প্রকাশ করে, তবেIPsec ক্লায়েন্টের আলোচনা করার মতো কিছু থাকে না, আর লগে প্রমাণীকরণের ব্যর্থতার বদলে টাইমআউট দেখায়। আর কিছু ইনস্টল করার আগে জিজ্ঞাসা করুন কোন রিমোট-অ্যাক্সেস ব্লেডগুলো চালু আছে।

এখানকার প্রতিটি সীমাবদ্ধতা গেটওয়ের দিকে থাকে: ব্লেড, লাইসেন্স, ক্লায়েন্ট বিল্ড আর রুট প্রোফাইল। CLI বছরের পর বছর কাজ করছে। যা ভাঙে, তা হলো এই ধারণা যে Linux সাপোর্ট মানে এমন প্যাকেজ যা আপনার নিজের ও নিয়ন্ত্রণে।