Check Point VPN na Linuxu: SNX nije datoteka koju instalirate

Tražite Check Point klijent za Linux i nema stranice za preuzimanje s instalaterom. Taj nedostatak nije praznina u pakiranju. Check Pointov klijent za daljinski pristup na Linuxu je SSL Network Extender, SNX, i pristupnik vam ga daje nakon što se autentificirate u pregledniku. Kad to sjedne na mjesto, ostatak zbrke ima smisla, uključujući to zašto je gotovo svaki tekst o tome star godinama.

Mit: postoji klijent koji preuzmete i instalirate

Očekivanje dolazi od svakog drugog proizvođača. OpenVPN, WireGuard i većina komercijalnih klijenata objavljuju paket ili repozitorij, a instalacija je lokalna odluka koju donosite sami. Check Point tako ne radi na Linuxu. U službenim preuzimanjima za aktualne verzije pristupnika nema samostalnog instalatera, pa pretraga vodi do starih forumskih tema i zrcala trećih strana.

Ta su zrcala gora od beskorisnih, jer se gradnja mora poklapati s pristupnikom koji je poslužuje.

Što je SNX zapravo i odakle dolazi

SNX je klijent naredbenog retka čiji je binarni fajl snx i instalira se kroz sesiju koju pokrenete u pregledniku prema pristupniku. Povijesno ga je Java aplet preuzimao i instalirao nakon što prihvatite upit. Mehanizam se godinama mijenjao, izvor nije. Pristupnik poslužuje gradnju koja odgovara njemu samom, zato verzije klijenta i pristupnika idu zajedno i zato klijent kopiran iz starog paketa radi samo dok pristupnik još razgovara s njim.

To također znači da pristupnik mora biti spreman prije nego ijedan posao na klijentu ima smisla. Mobile Access Software Blade mora biti licenciran i konfiguriran, jer bez njega nema portala s kojeg se instalira. Nikakav trud na strani klijenta ne stvara sesiju prema pristupniku koji je ne nudi.

Usmjerite klijent na pristupnik sa svojim korisnikom i pročitajte što prijavljuje:

snx -s vpn.example.com -u your.name

Ograničenje je podrška za distribucije, ne instalater

Popis podržanih distribucija dobavljača za SNX kratak je i star. U objavljenom članku zaustavlja se oko Ubuntua 17.04, uz nekoliko izdanja openSUSE, Fedore i RHEL-a iz istog razdoblja, i još navodi Ubuntu 12.10. To govori kako popis stari, a ne što vaše računalo treba. Aktualna distribucija jednostavno nije na njemu.

Očekujte nesklad biblioteka prije nego radni tunel. Uobičajena tri su nedostajuće 32-bitne biblioteke na 64-bitnom sustavu, verzija OpenSSL-a s kojom binarni fajl nikad nije bio povezan i modul jezgre koji klijent pokušava izgraditi. Čitajte nedostajuće simbole umjesto da nagađate pakete:

ldd $(command -v snx) | grep "not found"

Zatim provjerite članak podrške za izdanje pristupnika na koje se stvarno spajate. Popis na blogu nije izjava o kompatibilnosti, a novija distribucija ne znači noviji klijent.

Detalj s X11 koji omogućuje rad bez zaslona

SNX treba biblioteke X11, ali ne i pokrenut X poslužitelj. Ta razlika je cijela razlika između klijenta koji radi preko SSH-a na hostu bez zaslona i onog koji izgleda da visi bez izlaza. Instalirajte paket biblioteka koji daje vaša distribucija, a ne snop kopiran iz drugog izdanja, i pokrenite klijent iz sesije kojoj treba tunel.

Nakon što se poveže,pročitajte sučelje i rute prije nego što vjerujete ijednom od njih:

ip -brief addr show
ip route show

SNX stvara tunelsko sučelje i instalira rute koje definira portal. Te su rute odluka pristupnika, a ne vaša, pa je nedostajući prefiks problem profila na strani pristupnika, a ne greška u klijentu. Provjerite DNS istodobno, jer profili s podijeljenim tunelom često guraju razrješivač koji niste očekivali.

Kad je SNX posve pogrešan odgovor

Check Point pristupnici mogu također zaključivati IPsec iL2TPveze od klijenta prema lokaciji, i one rade sa strongSwanom, Libreswanom ili L2TP dodatkom NetworkManagera. To je konfiguracija pristupnika, a ne klijentski trik. Ako pristupnik objavljuje samo Mobile Access portal,IPsec klijent nema o čemu pregovarati, a zapis pokazuje istek vremena umjesto neuspjeha autentifikacije. Pitajte koje su bladeove za daljinski pristup omogućene prije nego instalirate bilo što drugo.

Svako ograničenje ovdje živi na strani pristupnika: blade, licenca, gradnja klijenta i profil ruta. CLI radi godinama. Ono što se lomi jest pretpostavka da podrška za Linux znači paket koji posjedujete i kontrolirate.