SNX در لینوکس: کتابخانه‌های 32 بیتی و حل‌کننده‌ای که بازنشانی می‌شود

SSL Network Extender از Check Point در لینوکس به چهار شکل قابل تشخیص شکست می‌خورد و سه مورد از آن‌ها به‌اشتباه مشکل ورود خوانده می‌شود. یا فایل اجرایی شروع نمی‌شود، یا شروع می‌شود و هیچ مسیری باقی نمی‌گذارد، یا متصل می‌شود و حل نام می‌میرد، یا دروازه مرورگر کار می‌کند در حالی که خط فرمان کار نمی‌کند. آن‌ها را به همین ترتیب کار کنید، چون هر کدام شرط ورود برای بعدی است.

نشانه یک: بارگذار پیش از ورود امتناع می‌کند

نصب‌کننده‌ای که از دیوار آتش گرفته می‌شود یک فایل اجرایی 32 بیتی با setuid-root را در /usr/bin/snx می‌گذارد. روی توزیع 64 بیتی اجرا نمی‌شود تا وقتی معماری i386 فعال شود و کتابخانه‌هایی که به آن‌ها پیوند می‌خورد وجود داشته باشند.

sudo dpkg --add-architecture i386
sudo apt update
sudo apt install libstdc++5:i386 libstdc++6:i386 libx11-6:i386 libpam0g:i386
ldd /usr/bin/snx | grep "not found"

فهرست خالی not found دروازه همه چیزهای بعد از آن است. مجموعه دقیق بسته‌ها میان نسخه‌ها جابه‌جا می‌شود: یک گزارش کارآمد به libstdc++5:i386 و libx11-6:i386 و libpam0g:i386 نیاز داشت، دیگری به libstdc++6:i386 هم نیاز داشت. ldd را بخوانید به جای اینکه فهرست بسته‌ها را از آموزشی که برای توزیع دیگری نوشته شده کپی کنید.

اگر snx اصلاً پیدا نشود، نصب‌کننده هرگز کامل نشده یا جایی بیرون از PATH شما نصب شده است. این خرابی دیگری است و ارزش دارد پیش از افزودن معماری‌ها به سامانه آن را تأیید کنید. با command -v snx بررسی کنید و در پوشه‌ای که نصب‌کننده گزارش کرده نگاه کنید. افزودن بسته‌های i386 به ماشینی که فایل اجرایی به‌سادگی در آن نیست چیزی را درست نمی‌کند.

نشانه دو: ورود موفق می‌شود و هیچ چیز مسیریابی نمی‌شود

ورود موفق tunsnx را می‌سازد و خودش جدول مسیریابی را ویرایش می‌کند، پس پیش از تغییر هر چیز دیگری بررسی کنید واقعاً چه چیزی وجود دارد.

ip -br addr show tunsnx
ip route | grep tunsnx
snx -d

برای برچیدن از snx -d استفاده کنید. کشتن فرایند رابط و مسیرهایش را پشت سر می‌گذارد و تلاش بعدی آنگاه به دلیلی شکست می‌خورد که هیچ ربطی به اعتبارنامه‌ها ندارد. نخستین ورود یک امضای سرور هم زیر /etc/snx/ ثبت می‌کند، و به همین دلیل یک اسکریپت بی‌مراقب ممکن است پیش از آنکه اصلاً کار کند به یک اجرای تعاملی نیاز داشته باشد. آن وضعیت را فقط زمانی پاک کنید که قصد دارید سرور را دوباره تأیید کنید.

نشانه سه: نام‌ها حل می‌شوند تا وقتی تونل بالا بیاید

این همان است که بی‌صدا می‌شکند. snx سرورهای DNS هل داده‌شده را مستقیم در /etc/resolv.conf می‌نویسد. جایی که آن مسیر پیوند نمادین به /run/systemd/resolve/ است، ویرایش می‌تواند در رویداد بعدی حل‌کننده از دست برود، و پس از قطع اتصال نیز ورودی‌های هل داده‌شده به همان خوبی می‌توانند باقی بمانند.

دو ترتیب کار می‌کند و انتخاب باید آگاهانه باشد نه آنچه نخستین نتیجه جست‌وجو پیشنهاد کرد:

• فایل را خودتان بردارید: پیوند نمادین را با فایل ثابت جایگزین کنید و libnss-resolve را همراه نسخه i386 آن نصب کنید تا سرویس نام هنوز جایگزینی داشته باشد وقتی فایل از زیر آن بازنویسی می‌شود.
• systemd-resolved را مالک نگه دارید و پیوند تونل را ثبت کنید: resolvectl dns tunsnx 10.0.0.10، سپس resolvectl domain tunsnx corp.example، و با resolvectl status تأیید کنید.

سرورهای نام پیش از VPN را قبل از اتصال ثبت کنید. اگر فایل را دستی ویرایش می‌کنید، برداشتن ورودی‌های هل داده‌شده پس از آن بخشی از رویه است نه پاکسازی اختیاری، چون لپ‌تاپی که پس از قطع اتصال DNS سازمانی را نگه دارد نمی‌تواند هیچ چیز دیگری را حل کند.

نشانه چهار: دروازه کار می‌کند و خط فرمان نه

نسخه‌های اخیر دیوار آتش میان‌افزار را از مرورگر به یک دیمون محلی Java منتقل کرده‌اند، پس دروازه با یک کارگزار محلی روی درگاه 14186 صحبت می‌کند. آن نشانی به یک استثنای گواهی مرورگر و یک فرایند در حال اجرا نیاز دارد.

ps ax | grep cshell
/usr/bin/cshell/launcher

خط فرمان مسیر جداست: snx -s vpn.example.com -u user، با ~/.snxrc که سرور، نام کاربری و ترجیح احراز هویت مجدد را نگه می‌دارد. نشست دروازه کارآمد هیچ چیزی درباره درستی نصب CLI نمی‌گوید و کلاینت خالی کدهای یک‌بارمصرف را مدیریت نمی‌کند.

میان‌بر کانتینر که بیشتر از صرفه‌جویی هزینه دارد

snx ماژول tun را بررسی می‌کند، وقتی نیست بارگذاری می‌کند، یک رابط تونل می‌سازد، مسیرها را بازنویسی می‌کند و ترافیک را از آن عبور می‌دهد. بازتولید این در یک کانتینر یعنی سوار کردن /dev و /lib/modules و دادن توانایی‌های گسترده، که بیشتر مدیریت شبکه میزبان را به کانتینر می‌سپارد.

وقتی واقعاً جعبه شنی لازم است، ماشین مجازی مرز پاک‌تری است: کلاینت هسته‌ای می‌گیرد که می‌تواند تغییر دهد و میزبان جدول مسیریابی خود را نگه می‌دارد. این را پیش از صرف یک بعدازظهر روی توانایی‌هایی که از دادنشان پشیمان می‌شوید انتخاب کنید.