Check Point VPN en Linux: SNX non é unha descarga que se instala

Buscas o cliente de Check Point para Linux e non atopas unha páxina de descarga cun instalador. Esa ausencia non é un oco de empaquetado. O cliente de acceso remoto de Check Point para Linux é SSL Network Extender, SNX, e a pasarela entrégacho despois de que te autentiques nun navegador. Cando iso encaixa, o resto da confusión ten sentido, incluído por que case todos os artigos sobre o tema teñen anos.

O mito: hai un cliente que descargas e instalas

A expectativa vén de todos os demais provedores. OpenVPN, WireGuard e a maioría dos clientes comerciais publican un paquete ou un repositorio, e instalar un é unha decisión local que tomas ti só. Check Point non funciona así en Linux. Non hai instalador autónomo nas descargas oficiais para as versións actuais da pasarela, así que buscar un só devolve fíos antigos de foros e espellos de terceiros.

Eses espellos son peores que inútiles, porque a compilación ten que coincidir coa pasarela que a serve.

Que é realmente SNX e de onde sae

SNX é un cliente de liña de ordes cuxo binario é snx, e instálase a través dunha sesión que inicias no navegador contra a pasarela. Historicamente descargábaa e instalábaa un applet de Java despois de que aceptases o aviso. O mecanismo cambiou cos anos, a fonte non. A pasarela serve a compilación que lle corresponde, e por iso as versións do cliente e da pasarela van á par, e por iso un cliente copiado dun paquete antigo só funciona mentres a pasarela segue falando con el.

Iso tamén significa que a pasarela ten que estar lista antes de que calquera traballo no cliente importe. Mobile Access Software Blade debe estar licenciado e configurado, porque sen el non hai portal desde o que instalar. Ningún esforzo do lado do cliente produce unha sesión contra unha pasarela que non ofrece ningunha.

Apunta o cliente á pasarela co teu usuario e le o que informa:

snx -s vpn.example.com -u your.name

A restrición é o soporte de distribucións, non o instalador

A lista de distribucións compatibles do provedor para SNX é curta e antiga. No artigo publicado detense cara a Ubuntu 17.04, xunto a unhas cantas versións de openSUSE, Fedora e RHEL da mesma época, e aínda inclúe Ubuntu 12.10. Iso dixe como envellece a lista, non que necesita a túa máquina. Unha distribución actual simplemente non está nela.

Espera desaxustes de bibliotecas antes de esperar un túnel funcional. Os tres habituais son bibliotecas de 32 bits que faltan nun sistema de 64 bits, unha versión de OpenSSL coa que o binario nunca se ligou, e un módulo do núcleo que o cliente tenta compilar. Le os símbolos que faltan en vez de adiviñar paquetes:

ldd $(command -v snx) | grep "not found"

Despois consulta o artigo de soporte da versión de pasarela á que te conectas de verdade. Unha lista dun blog non é unha declaración de compatibilidade, e unha distribución máis nova non implica un cliente máis novo.

O detalle de X11 que fai posible traballar sen pantalla

SNX necesita bibliotecas X11 pero non un servidor X en execución. Esa distinción é toda a diferenza entre un cliente que funciona por SSH nun equipo sen pantalla e un que parece colgarse sen ningunha saída. Instala o paquete de bibliotecas que ofrece a túa distribución en lugar dun lote copiado doutra versión, e executa o cliente desde a sesión que necesita o túnel.

Despois de que conecte,le a interface e as rutas antes de confiar en calquera das dúas:

ip -brief addr show
ip route show

SNX crea unha interface de túnel e instala as rutas que define o portal. Esas rutas son decisión da pasarela e non túa, así que un prefixo que falta é un problema de perfil no lado da pasarela e non un fallo do cliente. Comproba o DNS ao mesmo tempo, porque os perfís con túnel dividido adoitan empurrar un resolutor que non esperabas.

Cando SNX é de todo a resposta equivocada

As pasarelas de Check Point tamén poden terminar conexións IPsec eL2TPde cliente a sitio, e esas funcionan con strongSwan, Libreswan ou o complemento L2TP de NetworkManager. Iso é configuración da pasarela, non un truco do cliente. Se a pasarela só publica o portal Mobile Access,un cliente IPsec non ten con que negociar, e o rexistro mostra un tempo de espera en lugar dun fallo de autenticación. Pregunta que blades de acceso remoto están activadas antes de instalar calquera outra cousa.

Todas as restricións de aquí viven no lado da pasarela: a blade, a licenza, a compilación do cliente e o perfil de rutas. A CLI funciona desde hai anos. O que se rompe é a suposición de que o soporte para Linux significa un paquete que posúes e controlas.