Check Point VPN på Linux: SNX er ikke en download, du installerer

Du leder efter Check Point-klienten til Linux og finder ingen downloadside med en installer. Den mangel er ikke et hul i pakningen. Check Points Linux-klient til fjernadgang er SSL Network Extender, SNX, og gatewayen giver dig den, når du har godkendt dig i en browser. Når det falder på plads, giver resten af forvirringen mening, inklusive hvorfor næsten hvert indlæg om det er år gammelt.

Myten: der findes en klient, du downloader og installerer

Forventningen kommer fra alle andre leverandører. OpenVPN, WireGuard og de fleste kommercielle klienter udgiver en pakke eller et repository, og installation er en lokal beslutning, du træffer selv. Check Point fungerer ikke sådan på Linux. Der findes ingen selvstændig installer i de officielle downloads til aktuelle gatewayversioner, så en søgning efter en giver kun gamle forumtråde og tredjeparts-spejle.

De spejle er værre end ubrugelige, fordi buildet skal passe til den gateway, der leverer det.

Hvad SNX egentlig er, og hvor det kommer fra

SNX er en kommandolinjeklient, hvis binære fil er snx, og den installeres via en session, du starter i browseren mod gatewayen. Historisk downloadede og installerede et Java-applet den, når du accepterede prompten. Mekanismen har ændret sig gennem årene, kilden har ikke. Gatewayen leverer det build, der passer til den selv, og derfor følges klient- og gatewayversioner ad, og derfor virker en klient kopieret fra en gammel pakke kun, så længe gatewayen stadig taler med den.

Det betyder også, at gatewayen skal være klar, før noget klientarbejde betyder noget. Mobile Access Software Blade skal være licenseret og konfigureret, for uden det er der ingen portal at installere fra. Ingen mængde arbejde på klientsiden giver en session mod en gateway, der ikke tilbyder en.

Peg klienten mod gatewayen med din bruger, og læs, hvad den rapporterer:

snx -s vpn.example.com -u your.name

Distributionstøtte er begrænsningen, ikke installeren

Leverandørens liste over understøttede distributioner til SNX er kort og gammel. I den publicerede artikel stopper den omkring Ubuntu 17.04, sammen med et par openSUSE-, Fedora- og RHEL-udgivelser fra samme periode, og den nævner stadig Ubuntu 12.10. Det fortæller, hvordan listen ældes, ikke hvad din maskine har brug for. En aktuel distribution står simpelthen ikke på den.

Forvent biblioteksuoverensstemmelser, før du forventer en fungerende tunnel. De sædvanlige tre er manglende 32-bit-biblioteker på et 64-bit-system, en OpenSSL-version, som den binære fil aldrig blev linket mod, og et kernemodul, som klienten prøver at bygge. Læs de manglende symboler i stedet for at gætte på pakker:

ldd $(command -v snx) | grep "not found"

Slå derefter supportartiklen op for den gatewayudgivelse, du faktisk forbinder til. En blogs liste er ikke en kompatibilitetserklæring, og en nyere distribution betyder ikke en nyere klient.

X11-detaljen, der gør hovedløst arbejde muligt

SNX har brug for X11-biblioteker, men ikke en kørende X-server. Den forskel er hele forskellen mellem en klient, der virker over SSH på en hovedløs host, og en, der ser ud til at hænge uden output. Installer det bibliotekspakke, din distribution leverer, i stedet for en bundle kopieret fra en anden udgivelse, og kør klienten fra den session, der har brug for tunnelen.

Når den har forbindelse,læs grænsefladen og ruterne, før du stoler på nogen af dem:

ip -brief addr show
ip route show

SNX opretter en tunnelgrænseflade og installerer de ruter, portalen definerer. Ruterne er gatewayens beslutning, ikke din, så et manglende præfiks er et profilproblem på gateway-siden og ikke en klientfejl. Tjek DNS samtidig, for split-tunnel-profiler sender ofte en resolver, du ikke forventede.

Når SNX er det helt forkerte svar

Check Point-gateways kan også terminere IPsec- ogL2TPklient-til-site-forbindelser, og de virker med strongSwan, Libreswan eller NetworkManagers L2TP-plugin. Det er en gatewaykonfiguration, ikke et klienttrick. Hvis gatewayen kun udgiver Mobile Access-portalen,har en IPsec-klient intet at forhandle med, og loggen viser en timeout i stedet for en godkendelsesfejl. Spørg, hvilke fjernadgangs-blades der er aktiveret, før du installerer noget andet.

Enhver begrænsning her ligger på gateway-siden: bladet, licensen, klientbuildet og ruteprofilen. CLI'en har virket i årevis. Det, der brækker, er antagelsen om, at Linux-support betyder en pakke, du ejer og kontrollerer.