Check Point VPN Linuxilla: SNX ei ole lataus, jonka asennat

Etsit Check Pointin Linux-asiakasohjelmaa etkä löydä lataussivua, jolla olisi asennusohjelma. Tämä puuttuminen ei ole paketoinnin aukko. Check Pointin Linuxin etäkäyttöasiakasohjelma on SSL Network Extender, SNX, ja yhdyskäytävä antaa sen sinulle, kun olet todentanut itsesi selaimessa. Kun se uppoaa, muu hämmennys käy järkeen, mukaan lukien se, miksi lähes jokainen sitä koskeva teksti on vuosien takaa.

Myytti: on asiakasohjelma, jonka lataat ja asennat

Odotus tulee kaikilta muilta toimittajilta. OpenVPN, WireGuard ja useimmat kaupalliset asiakasohjelmat julkaisevat paketin tai repositorion, ja asentaminen on paikallinen päätös, jonka teet itse. Check Point ei toimi Linuxilla niin. Nykyisten yhdyskäytäväversioiden virallisissa latauksissa ei ole erillistä asennusohjelmaa, joten sen etsiminen tuottaa vain vanhoja foorumiketjuja ja kolmannen osapuolen peilejä.

Ne peilit ovat hyödyttömyyttä pahempia, koska buildin on vastattava sitä palvelevaa yhdyskäytävää.

Mikä SNX oikeastaan on ja mistä se tulee

SNX on komentoriviasiakasohjelma, jonka binääri on snx, ja se asennetaan istunnon kautta, jonka aloitat selaimessa yhdyskäytävää vasten. Historiallisesti Java-sovelma latasi ja asensi sen, kun olit hyväksynyt kehotteen. Mekanismi on muuttunut vuosien varrella, lähde ei. Yhdyskäytävä tarjoilee buildin, joka vastaa sitä itseään, minkä vuoksi asiakasohjelman ja yhdyskäytävän versiot kulkevat yhdessä ja minkä vuoksi vanhasta paketista kopioitu asiakasohjelma toimii vain niin kauan kuin yhdyskäytävä vielä puhuu sen kanssa.

Tämä tarkoittaa myös, että yhdyskäytävän on oltava valmis ennen kuin mikään asiakaspuolen työ merkitsee mitään. Mobile Access Software Blade on lisensoitava ja määritettävä, koska ilman sitä ei ole porttia, josta asentaa. Mikään määrä asiakaspuolen työtä ei tuota istuntoa yhdyskäytävää vasten, joka ei tarjoa sellaista.

Suuntaa asiakasohjelma yhdyskäytävään käyttäjälläsi ja lue, mitä se raportoi:

snx -s vpn.example.com -u your.name

Rajoitus on jakelutuki, ei asennusohjelma

Toimittajan tuettujen jakelujen luettelo SNX:lle on lyhyt ja vanha. Julkaistussa artikkelissa se päättyy noin Ubuntu 17.04:ään, mukana muutama saman aikakauden openSUSE-, Fedora- ja RHEL-julkaisu, ja se luettelee yhä Ubuntu 12.10:n. Se kertoo, miten luettelo vanhenee, ei sitä, mitä koneesi tarvitsee. Nykyinen jakelu ei yksinkertaisesti ole siinä.

Odota kirjastojen yhteensopimattomuuksia ennen kuin odotat toimivaa tunnelia. Tavalliset kolme ovat puuttuvat 32-bittiset kirjastot 64-bittisessä järjestelmässä, OpenSSL-versio, jota vasten binääriä ei koskaan linkitetty, ja ydinmoduuli, jota asiakasohjelma yrittää kääntää. Lue puuttuvat symbolit sen sijaan, että arvaisit paketteja:

ldd $(command -v snx) | grep "not found"

Tarkista sitten tukitartikkeli siltä yhdyskäytäväjulkaisulta, johon oikeasti yhdistät. Blogin luettelo ei ole yhteensopivuuslausunto, eikä uudempi jakelu tarkoita uudempaa asiakasohjelmaa.

X11-yksityiskohta, joka tekee näytöttömästä työstä mahdollista

SNX tarvitsee X11-kirjastoja mutta ei käynnissä olevaa X-palvelinta. Tämä ero on koko ero asiakasohjelman välillä, joka toimii SSH:n yli näytöttömällä koneella, ja sen, joka näyttää jumittuvan ilman tulostetta. Asenna jakelusi tarjoama kirjastopaketti sen sijaan, että käyttäisit toisesta julkaisusta kopioitua nippua, ja aja asiakasohjelma siitä istunnosta, joka tunnelia tarvitsee.

Kun se on yhdistänyt,lue liitäntä ja reitit ennen kuin luotat kumpaankaan:

ip -brief addr show
ip route show

SNX luo tunneliliitännän ja asentaa reitit, jotka portaali määrittelee. Ne reitit ovat yhdyskäytävän päätös, eivät sinun, joten puuttuva prefiksi on yhdyskäytävän puolen profiiliongelma eikä asiakasohjelman bugi. Tarkista DNS samalla, koska jaetun tunnelin profiilit työntävät usein resoluuttorin, jota et odottanut.

Kun SNX on täysin väärä vastaus

Check Pointin yhdyskäytävät voivat myös päättää IPsec- jaL2TPasiakas-toimipaikka-yhteyksiä, ja ne toimivat strongSwanin, Libreswanin tai NetworkManagerin L2TP-liitännäisen kanssa. Se on yhdyskäytävän kokoonpano, ei asiakasohjelman temppu. Jos yhdyskäytävä julkaisee vain Mobile Access -portaalin,IPsec-asiakasohjelmalla ei ole mitään neuvoteltavaa, ja loki näyttää aikakatkaisun todennuksen epäonnistumisen sijaan. Kysy, mitkä etäkäytön bladet ovat käytössä, ennen kuin asennat mitään muuta.

Jokainen rajoitus täällä elää yhdyskäytävän puolella: blade, lisenssi, asiakasohjelman build ja reittiprofiili. CLI on toiminut vuosia. Rikki menee oletus, että Linux-tuki tarkoittaa pakettia, jonka omistat ja jota hallitset.