Check Point VPN na Linuxu: SNX není soubor, který si nainstalujete

Hledáte klienta Check Point pro Linux a nenacházíte stránku ke stažení s instalátorem. Tahle nepřítomnost není mezera v balíčkování. Linuxovým klientem vzdáleného přístupu od Check Pointu je SSL Network Extender, SNX, a brána vám ho vydá poté, co se přihlásíte v prohlížeči. Když to zapadne, zbytek zmatku dává smysl, včetně toho, proč je skoro každý text o tom roky starý.

Mýtus: existuje klient, kterého stáhnete a nainstalujete

To očekávání přichází od všech ostatních výrobců. OpenVPN, WireGuard a většina komerčních klientů publikuje balíček nebo repozitář a instalace je místní rozhodnutí, které uděláte sami. Check Point na Linuxu takto nefunguje. V oficiálních stahováních pro současné verze brány není samostatný instalátor, takže hledání vede jen ke starým vláknům na fórech a zrcadlům třetích stran.

Ta zrcadla jsou horší než zbytečná, protože sestavení musí odpovídat bráně, která ho vydává.

Co SNX vlastně je a odkud pochází

SNX je klient příkazové řádky, jehož binárka se jmenuje snx, a instaluje se přes relaci, kterou spustíte v prohlížeči proti bráně. Historicky ho stahoval a instaloval Java applet poté, co jste odsouhlasili výzvu. Mechanismus se za ta léta změnil, zdroj ne. Brána vydává sestavení, které odpovídá jí samotné, a proto verze klienta a brány drží krok a proto klient zkopírovaný ze starého balíčku funguje jen dokud s ním brána ještě mluví.

To také znamená, že brána musí být připravená dřív, než má jakákoli práce na klientovi smysl. Mobile Access Software Blade musí být licencován a nakonfigurován, protože bez něj není portál, ze kterého by se instalovalo. Žádné úsilí na straně klienta nevytvoří relaci proti bráně, která ji nenabízí.

Namiřte klienta na bránu se svým uživatelem a přečtěte si, co hlásí:

snx -s vpn.example.com -u your.name

Omezením je podpora distribucí, ne instalátor

Seznam podporovaných distribucí od výrobce pro SNX je krátký a starý. V publikovaném článku končí kolem Ubuntu 17.04, vedle několika vydání openSUSE, Fedory a RHEL ze stejné doby, a stále uvádí Ubuntu 12.10. To vám říká, jak seznam stárne, ne co potřebuje váš stroj. Aktuální distribuce na něm prostě není.

Čekejte nesoulad knihoven dřív, než budete čekat funkční tunel. Ty obvyklé tři jsou chybějící 32bitové knihovny na 64bitovém systému, verze OpenSSL, proti které binárka nikdy nebyla slinkována, a modul jádra, který se klient snaží sestavit. Čtěte chybějící symboly místo hádání balíčků:

ldd $(command -v snx) | grep "not found"

Pak si prohlédněte článek podpory pro vydání brány, ke které se skutečně připojujete. Seznam na blogu není prohlášení o kompatibilitě a novější distribuce neznamená novějšího klienta.

Detail s X11, který umožňuje práci bez obrazovky

SNX potřebuje knihovny X11, ale ne běžící X server. Ten rozdíl je celý rozdíl mezi klientem, který funguje přes SSH na hostiteli bez obrazovky, a tím, který vypadá, že visí bez výstupu. Nainstalujte balíček knihoven, který poskytuje vaše distribuce, ne sestavu zkopírovanou z jiného vydání, a spouštějte klienta z relace, která tunel potřebuje.

Poté, co se připojí,přečtěte si rozhraní a trasy, než uvěříte kterémukoli z nich:

ip -brief addr show
ip route show

SNX vytváří tunelové rozhraní a instaluje trasy, které definuje portál. Ty trasy jsou rozhodnutím brány, ne vaším, takže chybějící prefix je problém profilu na straně brány, ne chyba klienta. Zkontrolujte zároveň DNS, protože profily s rozděleným tunelem často protlačí resolver, který jste nečekali.

Když je SNX úplně špatná odpověď

Brány Check Point umí také ukončovat spojení IPsec aL2TPod klienta k lokalitě a ta fungují se strongSwan, Libreswan nebo L2TP pluginem NetworkManageru. To je konfigurace brány, ne klientský trik. Pokud brána publikuje jen portál Mobile Access,nemá klient IPsec o čem vyjednávat, a log ukáže vypršení času místo selhání autentizace. Ptejte se, které blade moduly vzdáleného přístupu jsou zapnuté, než nainstalujete cokoli dalšího.

Každé omezení je tady na straně brány: blade, licence, sestavení klienta a profil tras. CLI funguje roky. Co se láme, je předpoklad, že podpora Linuxu znamená balíček, který vlastníte a ovládáte.