SNX ar Linux: llyfrgelloedd 32-bit a datryswr sy’n ailosod

Mae SSL Network Extender Check Point yn methu ar Linux mewn pedair ffordd adnabyddadwy, ac mae tair ohonynt yn cael eu darllen yn anghywir fel problem mewngofnodi. Naill ai nid yw’r deuaidd yn cychwyn, neu mae’n cychwyn ac yn gadael dim llwybr, neu mae’n cysylltu ac mae datrys enwau yn marw, neu mae’r porth yn y porwr yn gweithio tra nad yw’r llinell orchymyn yn gwneud. Gweithiwch nhw yn y drefn honno, oherwydd pob un yw amod mynediad y nesaf.

Symptom un: mae’r llwythwr yn gwrthod cyn y mewngofnodi

Mae’r gosodwr a dynnwyd o’r mur tân yn gollwng deuaidd 32-bit â setuid-root yn /usr/bin/snx. Ar ddosbarthiad 64-bit nid yw’n rhedeg hyd nes y bydd pensaernïaeth i386 wedi’i galluogi a’r llyfrgelloedd y mae’n cysylltu â nhw yn bodoli.

sudo dpkg --add-architecture i386
sudo apt update
sudo apt install libstdc++5:i386 libstdc++6:i386 libx11-6:i386 libpam0g:i386
ldd /usr/bin/snx | grep "not found"

Rhestr not found wag yw’r giât ar gyfer popeth sy’n dilyn. Mae’r set becynnau union yn symud rhwng rhyddhadau: roedd un adroddiad gweithiol angen libstdc++5:i386, libx11-6:i386 a libpam0g:i386, roedd un arall hefyd angen libstdc++6:i386. Darllenwch ldd yn hytrach na chopïo rhestr becynnau o diwtorial a ysgrifennwyd ar gyfer dosbarthiad gwahanol.

Os nad yw snx i’w gael o gwbl, nid oedd y gosodwr byth wedi cwblhau neu gosododd yn rhywle y tu allan i’ch PATH. Mae hynny’n fethiant gwahanol, ac mae’n werth ei gadarnhau cyn i chi ychwanegu pensaernïaethau at y system. Gwiriwch gyda command -v snx a edrychwch yn y cyfeiriadur a adroddodd y gosodwr. Nid yw ychwanegu pecynnau i386 at beiriant lle mae’r deuaidd yn syml yn absennol yn trwsio dim.

Symptom dau: mae mewngofnodi yn llwyddo ac nid oes dim yn llwybro

Mae mewngofnodi llwyddiannus yn creu tunsnx ac yn golygu’r tabl llwybrau ei hun, felly gwiriwch beth sy’n bodoli mewn gwirionedd cyn i chi newid unrhyw beth arall.

ip -br addr show tunsnx
ip route | grep tunsnx
snx -d

Defnyddiwch snx -d ar gyfer dadfynd. Mae lladd y broses yn gadael y rhyngwyneb a’i lwybrau ar ôl, ac yna mae’r ymgais nesaf yn methu am reswm nad oes ganddo ddim i’w wneud â chymwysterau. Mae’r mewngofnodi cyntaf hefyd yn cofnodi llofnod gweinydd o dan /etc/snx/, a dyna pam y gall sgript heb oruchwyliaeth fod angen un rhediad rhyngweithiol cyn y gall weithio o gwbl. Dilëwch y cyflwr hwnnw dim ond pan fyddwch yn bwriadu ailgymeradwyo’r gweinydd.

Symptom tri: mae enwau’n datrys hyd nes y daw’r tiwnel i fyny

Dyma’r un sy’n torri’n dawel. Mae snx yn ysgrifennu gweinyddion DNS a wthiwyd yn syth i /etc/resolv.conf. Lle mae’r llwybr hwnnw’n gysylltiad symbolaidd i mewn i /run/systemd/resolve/, gall y golygiad gael ei golli yn y digwyddiad datryswr nesaf, ac ar ôl datgysylltu gall y cofnodion a wthiwyd aros yr un mor hawdd.

Mae dau drefniant yn gweithio, a dylai’r dewis fod yn fwriadol yn hytrach na beth bynnag a awgrymodd y canlyniad chwilio cyntaf:

• Cymerwch y ffeil drosodd: disodli’r cysylltiad symbolaidd â ffeil statig a gosod libnss-resolve ynghyd â’i amrywiad i386, fel bod gan y gwasanaeth enwau gefnlen o hyd pan fydd y ffeil yn cael ei hailysgrifennu oddi tano.
• Cadwch systemd-resolved fel perchennog a chofrestrwch gysylltiad y tiwnel: resolvectl dns tunsnx 10.0.0.10, yna resolvectl domain tunsnx corp.example, a chadarnhewch gyda resolvectl status.

Cofnodwch y gweinyddion enwau cyn-VPN cyn cysylltu. Os byddwch yn golygu’r ffeil â llaw, mae tynnu’r cofnodion a wthiwyd wedyn yn rhan o’r weithdrefn, nid glanhau dewisol, oherwydd bydd gliniadur sy’n cadw DNS corfforaethol ar ôl datgysylltu yn methu datrys unrhyw beth arall.

Symptom pedwar: mae’r porth yn gweithio ac nid yw’r CLI yn gwneud

Mae rhyddhadau mur tân diweddar wedi symud y middleware allan o’r porwr i daemon Java lleol, felly mae’r porth yn siarad ag asiant lleol ar borth 14186. Mae’r cyfeiriad hwnnw angen eithriad tystysgrif porwr a phroses sy’n rhedeg.

ps ax | grep cshell
/usr/bin/cshell/launcher

Mae’r llinell orchymyn yn llwybr ar wahân: snx -s vpn.example.com -u user, gyda ~/.snxrc yn dal y gweinydd, enw’r defnyddiwr a’r dewis ail-ddilysu. Nid yw sesiwn porth sy’n gweithio yn dweud dim am ba un a yw’r CLI wedi’i osod yn gywir, ac nid yw’r cleient noeth yn trin codau untro.

Y llwybr byr cynhwysydd sy’n costio mwy nag y mae’n ei arbed

Mae snx yn gwirio am y modiwl tun, yn ei lwytho pan fydd ar goll, yn creu rhyngwyneb tiwnel, yn ailysgrifennu llwybrau ac yn gwthio traffig drwyddo. Mae atgynhyrchu hynny o fewn cynhwysydd yn golygu mowntio /dev a /lib/modules a rhoi galluoedd eang, sy’n rhoi’r rhan fwyaf o weinyddiaeth rwydwaith y gwesteiwr i’r cynhwysydd.

Pan fydd blwch tywod wirioneddol angenrheidiol, peiriant rhithwir yw’r ffin lanaf: mae’r cleient yn cael cnewyllyn y caiff ei addasu, ac mae’r gwesteiwr yn cadw ei dabl llwybrau. Dewiswch hynny cyn i chi dreulio prynhawn ar alluoedd y byddwch yn difaru eu rhoi.