Check Point VPN Linuxis: SNX ei ole allalaaditav paigaldusfail

Otsid Check Pointi Linuxi klienti ja ei leia allalaadimislehte, millel oleks paigaldaja. See puudumine ei ole pakendamise lünk. Check Pointi Linuxi kaugjuurdepääsu klient on SSL Network Extender, SNX, ja lüüs annab selle sulle pärast seda, kui oled brauseris autentinud. Kui see paika loksub, on ka ülejäänud segadus mõistetav, sealhulgas see, miks peaaegu iga tekst selle kohta on aastaid vana.

Müüt: on klient, mille alla laadid ja paigaldad

Ootus tuleb kõigilt teistelt tarnijatelt. OpenVPN, WireGuard ja enamik kommertskliente avaldavad paketi või hoidla ning paigaldamine on kohalik otsus, mille teed ise. Check Point Linuxis nii ei tööta. Praeguste lüüsiversioonide ametlikes allalaadimistes pole eraldiseisvat paigaldajat, seega toob selle otsimine välja ainult vanu foorumiteemasid ja kolmandate osapoolte peegleid.

Need peeglid on hullemad kui kasutud, sest ehitis peab vastama lüüsile, mis seda serveerib.

Mis SNX tegelikult on ja kust see tuleb

SNX on käsureaklient, mille binaar on snx, ja see paigaldatakse sessiooni kaudu, mille käivitad brauseris lüüsi vastu. Varem laadis ja paigaldas selle Java-applet pärast seda, kui nõustusid viipaga. Mehhanism on aastate jooksul muutunud, allikas mitte. Lüüs serveerib ehitist, mis vastab talle endale, seetõttu käivad kliendi ja lüüsi versioonid koos ja seetõttu töötab vanast paketist kopeeritud klient ainult seni, kuni lüüs temaga veel räägib.

See tähendab ka seda, et lüüs peab olema valmis enne, kui mis tahes klienditöö loeb. Mobile Access Software Blade peab olema litsentseeritud ja seadistatud, sest ilma selleta pole portaal, kust paigaldada. Ükski pingutus kliendi poolel ei tekita sessiooni lüüsi vastu, mis seda ei paku.

Suuna klient oma kasutajaga lüüsile ja loe, mida see teatab:

snx -s vpn.example.com -u your.name

Piirang on distributsioonide tugi, mitte paigaldaja

Tarnija toetatud distributsioonide nimekiri SNX-i jaoks on lühike ja vana. Avaldatud artiklis lõpeb see umbes Ubuntu 17.04 juures, koos mõne sama ajastu openSUSE, Fedora ja RHEL väljaandega, ja loetleb endiselt Ubuntu 12.10. See ütleb, kuidas nimekiri vananeb, mitte mida sinu masin vajab. Praegust distributsiooni seal lihtsalt pole.

Oota teegikonflikte enne, kui ootad töötavat tunnelit. Tavalised kolm on puuduvad 32-bitised teegid 64-bitises süsteemis, OpenSSL-i versioon, millega binaari kunagi ei lingitud, ja tuumamoodul, mida klient proovib ehitada. Loe puuduvaid sümboleid, selle asemel et pakette oletada:

ldd $(command -v snx) | grep "not found"

Seejärel vaata tugiartiklit selle lüüsiväljaande kohta, millega tegelikult ühendud. Blogi nimekiri ei ole ühilduvusavaldus ja uuem distributsioon ei tähenda uuemat klienti.

X11 detail, mis teeb ekraanita töö võimalikuks

SNX vajab X11 teeke, kuid mitte töötavat X-serverit. See vahe on kogu vahe kliendi vahel, mis töötab SSH kaudu ekraanita hostis, ja selle vahel, mis näib ilma väljundita olevat kinni jäänud. Paigalda teegipakett, mille sinu distributsioon pakub, mitte mujalt väljaandest kopeeritud kogum, ja käivita klient sessioonist, mis tunnelit vajab.

Pärast ühendumistloe liidest ja marsruute enne, kui kummalelegi usaldad:

ip -brief addr show
ip route show

SNX loob tunneliliidese ja paigaldab marsruudid, mille portaal määrab. Need marsruudid on lüüsi otsus, mitte sinu oma, seega puuduv prefiks on profiili probleem lüüsi poolel, mitte kliendi viga. Kontrolli samal ajal DNS-i, sest split-tunnel profiilid lükkavad sageli peale resolveri, mida sa ei oodanud.

Kui SNX on täiesti vale vastus

Check Pointi lüüsid võivad lõpetada ka IPsec- jaL2TPkliendist saidile ühendusi ning need töötavad strongSwaniga, Libreswani või NetworkManageri L2TP pistikprogrammiga. See on lüüsi seadistus, mitte kliendi nipp. Kui lüüs avaldab ainult Mobile Access portaali,pole IPsec kliendil mille üle läbi rääkida, ja logi näitab aegumist, mitte autentimise ebaõnnestumist. Küsi, millised kaugjuurdepääsu blade'id on lubatud, enne kui midagi muud paigaldad.

Iga piirang siin elab lüüsi poolel: blade, litsents, kliendi ehitis ja marsruudiprofiil. CLI töötab aastaid. Katki läheb eeldus, et Linuxi tugi tähendab paketti, mille omanik ja kontrollija sina oled.