Check Point VPN op Linux: SNX is gjin download dy't jo ynstallearje

Jo sykje de Check Point-klient foar Linux en fine gjin downloadside mei in ynstallearder derop. Dat ûntbrekken is gjin gat yn it ferpakken. De Linux-klient foar tagong op ôfstân fan Check Point is SSL Network Extender, SNX, en de gateway jout him oan jo nei't jo jo yn in browser ferifikaasje hawwe. As dat falt, is de rest fan 'e betizing logysk, ek wêrom't hast elk stik deroer jierren âld is.

De myte: der is in klient dy't jo downloade en ynstallearje

De ferwachting komt fan elke oare leveransier. OpenVPN, WireGuard en de measte kommersjele kliïnten publisearje in pakket of in repository, en ien ynstallearje is in lokale beslissing dy't jo allinnich nimme. Check Point wurket sa net op Linux. Der is gjin selsstannige ynstallearder yn 'e offisjele downloads foar aktuele gateway-ferzjes, dus it sykjen nei ien smyt allinnich âlde foarumtriedden en spegels fan tredden op.

Dy spegels binne slimmer as nutteleas, want de bou moat passe by de gateway dy't him tsjinnet.

Wat SNX eins is, en wêr't it wei komt

SNX is in kommandorigelklient wêrfan't it binêre bestân snx is, en it wurdt ynstallearre fia in sesje dy't jo yn 'e browser tsjin de gateway begjinne. Histoarysk laden en ynstallearren in Java-applet it neidat jo de fraach beäntwurde hiene. It meganisme is troch de jierren feroare, de boarne net. De gateway tsjinnet de bou dy't by himsels past, dêrom folgje klient- en gateway-ferzjes inoar, en dêrom wurket in klient dy't út in âld pakket kopiearre is allinnich salang't de gateway noch mei him praat.

Dat betsjut ek dat de gateway klear wêze moat foardat hokker klantwurk dan ek ta saak docht. Mobile Access Software Blade moat lisinsearre en konfigurearre wêze, want sûnder dat is der gjin portaal om fan te ynstallearjen. Gjin inkelde ynspanning oan 'e klantkant makket in sesje tsjin in gateway dy't der ien oanbiedt.

Rjochtsje de klient op 'e gateway mei jo brûker, en lês wat er rapportearret:

snx -s vpn.example.com -u your.name

De beheining is distribúsje-stipe, net de ynstallearder

De list fan stipe distribúsjes fan 'e leveransier foar SNX is koart en âld. Yn it publisearre artikel hâldt it op om Ubuntu 17.04 hinne, njonken in pear openSUSE-, Fedora- en RHEL-ferzjes út deselde tiid, en it neamt noch altyd Ubuntu 12.10. Dat fertelt jo hoe't de list ferâlderet, net wat jo masine nedich hat. In hjoeddeistige distribúsje stiet der gewoan net op.

Ferwachtsje biblioteekkonflikten foardat jo in wurkjende tunnel ferwachtsje. De gewoane trije binne ûntbrekkende 32-bits biblioteken op in 64-bits systeem, in OpenSSL-ferzje dêr't it binêre bestân nea mei keppele is, en in kearnmodule dy't de klient besiket te bouwen. Lês de ûntbrekkende symboalen ynstee fan pakketten te rieden:

ldd $(command -v snx) | grep "not found"

Sjoch dan it stipe-artikel foar de gateway-ferzje dêr't jo wier mei ferbine. In list op in blog is gjin ferklearring fan kompatibiliteit, en in nijere distribúsje betsjut gjin nijere klient.

It X11-detail dat wurk sûnder skerm mooglik makket

SNX hat X11-biblioteken nedich, mar gjin draaiende X-tsjinner. Dat ûnderskie is it hiele ferskil tusken in klient dy't oer SSH wurket op in host sûnder skerm en ien dy't liket te hingjen sûnder útkomst. Ynstallearje it biblioteekpakket dat jo distribúsje leveret ynstee fan in bondel dy't út in oare ferzje kopiearre is, en start de klient út 'e sesje dy't de tunnel nedich hat.

Nei't er ferbûn is,lês de ynterface en de rûtes foardat jo ien fan beide fertrouwe:

ip -brief addr show
ip route show

SNX makket in tunnel-ynterface en ynstallearret de rûtes dy't it portaal bepaalt. Dy rûtes binne it beslút fan 'e gateway en net fan jo, dus in ûntbrekkend foarheaksel is in profylprobleem oan 'e gateway-kant en gjin bug yn 'e klient. Kontrollearje DNS tagelyk, want split-tunnel-profylen triuwe faak in resolver derby dy't jo net ferwachte hiene.

As SNX hielendal it ferkearde antwurd is

Check Point-gateways kinne ek IPsec- enL2TP-ferbiningen fan klient nei lokaasje beëinigje, en dy wurkje mei strongSwan, Libreswan of de L2TP-plug-in fan NetworkManager. Dat is in gateway-konfiguraasje, gjin klanttrúk. As de gateway allinnich it Mobile Access-portaal publisearret,hat in IPsec-klient neat om oer te ûnderhanneljen, en it logboek lit in timeout sjen ynstee fan in autentikaasjeflater. Freegje hokker tagong-op-ôfstân-blades oan binne foardat jo eat oars ynstallearje.

Elke beheining hjir libbet oan 'e gateway-kant: de blade, de lisinsje, de klientbou en it rûteprofyl. De CLI wurket al jierren. Wat brekt, is de oanname dat Linux-stipe in pakket betsjut dat jo besitte en kontrolearje.