Check Point VPN sur Linux: SNX ne estas elŝutaĵo, kiun vi instalas

Vi serĉas la Check Point-klienton por Linux kaj ne trovas elŝutpaĝon kun instalilo. Tiu foresto ne estas manko en pakaĵado. La Linux-kliento de fora aliro de Check Point estas SSL Network Extender, SNX, kaj la pordego donas ĝin al vi post kiam vi aŭtentikiĝas en retumilo. Kiam tio sidiĝas, la resto de la konfuzo havas sencon, inkluzive de kial preskaŭ ĉiu afiŝo pri ĝi estas jarojn aĝa.

La mito: ekzistas kliento, kiun vi elŝutas kaj instalas

La atendo venas de ĉiu alia vendanto. OpenVPN, WireGuard kaj plej multaj komercaj klientoj publikigas pakaĵon aŭ deponejon, kaj instalado estas loka decido, kiun vi faras sola. Check Point ne funkcias tiel en Linux. En la oficialaj elŝutoj por nunaj pordegaj versioj ne estas memstara instalilo, do serĉado pri unu eltrovas nur malnovajn forumajn fadenojn kaj spegulojn de triaj partioj.

Tiuj speguloj estas pli malbonaj ol senutilaj, ĉar la konstruaĵo devas kongrui kun la pordego, kiu servas ĝin.

Kio vere estas SNX, kaj de kie ĝi venas

SNX estas komandlinia kliento, kies plenumeblo estas snx, kaj ĝi instaliĝas per sesio, kiun vi komencas en la retumilo kontraŭ la pordego. Historie Java-apleto elŝutis kaj instalis ĝin post kiam vi akceptis la prompton. La mekanismo ŝanĝiĝis dum la jaroj, la fonto ne. La pordego servas la konstruaĵon, kiu kongruas kun ĝi mem, tial klientaj kaj pordegaj versioj sekvas unu la alian, kaj tial kliento kopiita el malnova pakaĵo funkcias nur dum la pordego ankoraŭ parolas kun ĝi.

Tio ankaŭ signifas, ke la pordego devas esti preta antaŭ ol ajna laboro pri la kliento gravas. Mobile Access Software Blade devas esti licencita kaj agordita, ĉar sen ĝi ne ekzistas portalo por instali. Neniu kvanto da peno ĉe la klienta flanko kreas sesion kontraŭ pordego, kiu ne proponas unu.

Direktu la klienton al la pordego kun via uzanto, kaj legu, kion ĝi raportas:

snx -s vpn.example.com -u your.name

La limigo estas distribua subteno, ne la instalilo

La listo de subtenataj distribuaĵoj de la vendanto por SNX estas mallonga kaj malnova. En la publikigita artikolo ĝi haltas ĉirkaŭ Ubuntu 17.04, apud kelkaj eldonoj de openSUSE, Fedora kaj RHEL el la sama epoko, kaj ĝi ankoraŭ listigas Ubuntu 12.10. Tio diras al vi, kiel la listo maljuniĝas, ne kion bezonas via maŝino. Nuna distribuaĵo simple ne estas sur ĝi.

Atendu bibliotekajn malkongruojn antaŭ ol atendi funkciantan tunelon. La kutimaj tri estas mankantaj 32-bitaj bibliotekoj sur 64-bita sistemo, OpenSSL-versio, kun kiu la plenumeblo neniam estis ligita, kaj kernmodulo, kiun la kliento provas konstrui. Legu la mankantajn simbolojn anstataŭ diveni pakaĵojn:

ldd $(command -v snx) | grep "not found"

Poste kontrolu la subtenan artikolon por la pordega eldono, al kiu vi vere konektiĝas. Listo en blogo ne estas deklaro pri kongrueco, kaj pli nova distribuaĵo ne implicas pli novan klienton.

La X11-detalaĵo, kiu ebligas senkapran laboron

SNX bezonas X11-bibliotekojn sed ne funkciantan X-servilon. Tiu distingo estas la tuta diferenco inter kliento, kiu funkcias per SSH sur senkapa gastiganto, kaj unu, kiu ŝajnas pendi sen ajna eligo. Instalu la bibliotekan pakaĵon, kiun via distribuaĵo provizas, anstataŭ faskon kopiitan el alia eldono, kaj rulu la klienton el la sesio, kiu bezonas la tunelon.

Post kiam ĝi konektiĝas,legu la interfacon kaj la itinerojn antaŭ ol fidi iun ajn el ili:

ip -brief addr show
ip route show

SNX kreas tunelan interfacon kaj instalas la itinerojn, kiujn difinas la portalo. Tiuj itineroj estas decido de la pordego, ne via, do mankanta prefikso estas profila problemo ĉe la pordega flanko kaj ne cimo de la kliento. Kontrolu DNS samtempe, ĉar split-tunnel-profiloj ofte puŝas solvilon, kiun vi ne atendis.

Kiam SNX estas tute malĝusta respondo

Pordegoj de Check Point ankaŭ povas finigi IPsec- kajL2TPligojn de kliento al loko, kaj tiuj funkcias kun strongSwan, Libreswan aŭ la L2TP-kromaĵo de NetworkManager. Tio estas pordega agordo, ne klienta artifiko. Se la pordego publikigas nur la portalon Mobile Access,la IPsec-kliento havas nenion, pri kio intertrakti, kaj la protokolo montras tempolimon anstataŭ aŭtentika fiasko. Demandu, kiuj fora-aliraj bladeoj estas ŝaltitaj, antaŭ ol instali ion ajn alian.

Ĉiu limigo ĉi tie loĝas ĉe la pordega flanko: la bladeo, la licenco, la klienta konstruaĵo kaj la itinera profilo. La CLI funkcias jam de jaroj. Kio rompiĝas, estas la supozo, ke Linux-subteno signifas pakaĵon, kiun vi posedas kaj kontrolas.