Check Point VPN σε Linux: το SNX δεν είναι λήψη που εγκαθιστάς

Ψάχνετε τον πελάτη του Check Point για Linux και δεν βρίσκετε σελίδα λήψης με εγκαταστάτη. Αυτή η απουσία δεν είναι κενό στη συσκευασία. Ο πελάτης απομακρυσμένης πρόσβασης του Check Point για Linux είναι το SSL Network Extender, SNX, και η πύλη σάς το δίνει αφού ταυτοποιηθείτε σε πρόγραμμα περιήγησης. Μόλις αυτό καταλαγιάσει, η υπόλοιπη σύγχυση βγάζει νόημα, μαζί με το γιατί σχεδόν κάθε κείμενο γι' αυτό είναι χρόνων.

Ο μύθος: υπάρχει πελάτης που τον κατεβάζεις και τον εγκαθιστάς

Η προσδοκία έρχεται από κάθε άλλον προμηθευτή. Το OpenVPN, το WireGuard και οι περισσότεροι εμπορικοί πελάτες δημοσιεύουν ένα πακέτο ή ένα αποθετήριο, και η εγκατάσταση είναι τοπική απόφαση που παίρνετε μόνοι σας. Το Check Point δεν λειτουργεί έτσι στο Linux. Στις επίσημες λήψεις για τις τρέχουσες εκδόσεις πύλης δεν υπάρχει αυτόνομος εγκαταστάτης, οπότε η αναζήτηση φέρνει παλιά νήματα φόρουμ και κατοπτρισμούς τρίτων.

Αυτοί οι κατοπτρισμοί είναι χειρότεροι από άχρηστοι, γιατί η έκδοση πρέπει να ταιριάζει με την πύλη που τη σερβίρει.

Τι είναι στην πραγματικότητα το SNX και από πού έρχεται

Το SNX είναι πελάτης γραμμής εντολών του οποίου το εκτελέσιμο είναι το snx, και εγκαθίσταται μέσα από συνεδρία που ξεκινάτε στο πρόγραμμα περιήγησης απέναντι στην πύλη. Ιστορικά μια μικροεφαρμογή Java το κατέβαζε και το εγκαθιστούσε αφού αποδεχόσασταν το μήνυμα. Ο μηχανισμός άλλαξε με τα χρόνια, η πηγή όχι. Η πύλη σερβίρει την έκδοση που ταιριάζει με τον εαυτό της, γι' αυτό οι εκδόσεις πελάτη και πύλης συμβαδίζουν, και γι' αυτό πελάτης αντιγραμμένος από παλιό πακέτο λειτουργεί μόνο όσο η πύλη μιλάει ακόμη μαζί του.

Αυτό σημαίνει επίσης ότι η πύλη πρέπει να είναι έτοιμη πριν αποκτήσει νόημα οποιαδήποτε δουλειά στον πελάτη. Το Mobile Access Software Blade πρέπει να έχει άδεια και ρυθμίσεις, γιατί χωρίς αυτό δεν υπάρχει πύλη για εγκατάσταση. Καμία προσπάθεια στην πλευρά του πελάτη δεν παράγει συνεδρία απέναντι σε πύλη που δεν προσφέρει μία.

Στρέψτε τον πελάτη στην πύλη με τον χρήστη σας και διαβάστε τι αναφέρει:

snx -s vpn.example.com -u your.name

Ο περιορισμός είναι η υποστήριξη διανομών, όχι ο εγκαταστάτης

Η λίστα υποστηριζόμενων διανομών του προμηθευτή για το SNX είναι σύντομη και παλιά. Στο δημοσιευμένο άρθρο σταματά γύρω στο Ubuntu 17.04, μαζί με μερικές εκδόσεις openSUSE, Fedora και RHEL της ίδιας εποχής, και ακόμη αναφέρει το Ubuntu 12.10. Αυτό σας λέει πώς γερνά η λίστα, όχι τι χρειάζεται το μηχάνημά σας. Μια σημερινή διανομή απλώς δεν βρίσκεται σε αυτήν.

Περιμένετε ασυμφωνίες βιβλιοθηκών πριν περιμένετε σήραγγα που δουλεύει. Οι συνήθεις τρεις είναι βιβλιοθήκες 32 bit που λείπουν σε σύστημα 64 bit, μια έκδοση OpenSSL με την οποία το εκτελέσιμο δεν συνδέθηκε ποτέ, και μια μονάδα πυρήνα που ο πελάτης προσπαθεί να μεταγλωττίσει. Διαβάστε τα σύμβολα που λείπουν αντί να μαντεύετε πακέτα:

ldd $(command -v snx) | grep "not found"

Έπειτα κοιτάξτε το άρθρο υποστήριξης για την έκδοση πύλης στην οποία συνδέεστε πραγματικά. Μια λίστα σε ιστολόγιο δεν είναι δήλωση συμβατότητας, και μια νεότερη διανομή δεν συνεπάγεται νεότερο πελάτη.

Η λεπτομέρεια του X11 που κάνει δουλειά χωρίς οθόνη

Το SNX χρειάζεται βιβλιοθήκες X11 αλλά όχι διακομιστή X σε λειτουργία. Αυτή η διάκριση είναι όλη η διαφορά ανάμεσα σε πελάτη που δουλεύει μέσω SSH σε μηχάνημα χωρίς οθόνη και σε έναν που μοιάζει κολλημένος χωρίς έξοδο. Εγκαταστήστε το πακέτο βιβλιοθηκών της διανομής σας αντί για δέσμη αντιγραμμένη από άλλη έκδοση, και τρέξτε τον πελάτη από τη συνεδρία που χρειάζεται τη σήραγγα.

Αφού συνδεθεί,διαβάστε τη διεπαφή και τις διαδρομές πριν εμπιστευτείτε οποιαδήποτε από τις δύο:

ip -brief addr show
ip route show

Το SNX δημιουργεί διεπαφή σήραγγας και εγκαθιστά τις διαδρομές που ορίζει η πύλη. Αυτές οι διαδρομές είναι απόφαση της πύλης και όχι δική σας, οπότε ένα πρόθεμα που λείπει είναι πρόβλημα προφίλ στην πλευρά της πύλης και όχι σφάλμα του πελάτη. Ελέγξτε το DNS ταυτόχρονα, γιατί τα προφίλ split-tunnel σπρώχνουν συχνά έναν resolver που δεν περιμένατε.

Όταν το SNX είναι εντελώς λάθος απάντηση

Οι πύλες Check Point μπορούν επίσης να τερματίζουν συνδέσεις IPsec καιL2TPαπό πελάτη σε τοποθεσία, και αυτές δουλεύουν με strongSwan, Libreswan ή το πρόσθετο L2TP του NetworkManager. Αυτό είναι ρύθμιση πύλης, όχι τέχνασμα πελάτη. Αν η πύλη δημοσιεύει μόνο την πύλη Mobile Access,ο πελάτης IPsec δεν έχει με τι να διαπραγματευτεί, και το αρχείο καταγραφής δείχνει λήξη χρόνου αντί για αποτυχία ταυτοποίησης. Ρωτήστε ποιες μονάδες απομακρυσμένης πρόσβασης είναι ενεργοποιημένες πριν εγκαταστήσετε οτιδήποτε άλλο.

Κάθε περιορισμός εδώ ζει στην πλευρά της πύλης: η μονάδα, η άδεια, η έκδοση του πελάτη και το προφίλ διαδρομών. Το CLI δουλεύει εδώ και χρόνια. Αυτό που σπάει είναι η υπόθεση ότι η υποστήριξη Linux σημαίνει πακέτο που το έχετε και το ελέγχετε.