Check Point VPN Linuxon: az SNX nem letöltött telepítő

Keresed a Check Point Linux-ügyfelét, és nem találsz telepítőt tartalmazó letöltési oldalt. Ez a hiány nem csomagolási hézag. A Check Point Linuxos távoli hozzáférési ügyfele az SSL Network Extender, az SNX, és a gateway adja át neked, miután a böngészőben hitelesítetted magad. Ha ez a helyére kerül, a többi zavar is értelmet nyer, beleértve azt, hogy miért éves minden róla szóló írás.

A mítosz: van egy ügyfél, amit letöltesz és telepítesz

Az elvárás minden más gyártótól jön. Az OpenVPN, a WireGuard és a legtöbb kereskedelmi ügyfél csomagot vagy tárolót tesz közzé, és a telepítés helyi döntés, amit egyedül hozol meg. A Check Point Linuxon nem így működik. A jelenlegi gateway-verziók hivatalos letöltéseiben nincs önálló telepítő, ezért a keresés csak régi fórumtémákat és harmadik féltől származó tükröket hoz.

Ezek a tükrök haszontalannál is rosszabbak, mert a buildnek ahhoz a gatewayhez kell illeszkednie, amelyik kiszolgálja.

Mi is valójában az SNX, és honnan jön

Az SNX egy parancssori ügyfél, amelynek binárisa snx, és annak a munkamenetnek a keretében települ, amelyet a böngészőben indítasz a gateway ellen. Történelmileg egy Java applet töltötte le és telepítette, miután elfogadtad a felszólítást. A mechanizmus az évek során változott, a forrás nem. A gateway azt a buildet szolgálja ki, amelyik hozzá illik, ezért jár együtt az ügyfél és a gateway verziója, és ezért működik egy régi csomagból másolt ügyfél csak addig, amíg a gateway még beszél vele.

Ez azt is jelenti, hogy a gatewaynek készen kell állnia, mielőtt bármilyen ügyféloldali munka számítana. A Mobile Access Software Blade-et licencelni és konfigurálni kell, mert nélküle nincs portál, ahonnan telepíteni lehetne. Az ügyféloldali erőfeszítés semmilyen mennyisége nem hoz létre munkamenetet egy olyan gateway ellen, amelyik nem kínál ilyet.

Irányítsd az ügyfelet a gateway felé a felhasználóddal, és olvasd el, mit jelent:

snx -s vpn.example.com -u your.name

A korlát a disztribúció-támogatás, nem a telepítő

A gyártó SNX-hez támogatott disztribúcióinak listája rövid és régi. A publikált cikkben körülbelül az Ubuntu 17.04-nél megáll, mellette néhány ugyanabból a korszakból származó openSUSE-, Fedora- és RHEL-kiadás, és még mindig felsorolja az Ubuntu 12.10-et. Ez azt mondja el, hogyan öregszik a lista, nem azt, mire van szüksége a gépednek. Egy mai disztribúció egyszerűen nincs rajta.

Számíts könyvtár-eltérésekre, mielőtt működő alagútra számítanál. A szokásos három a 64 bites rendszeren hiányzó 32 bites könyvtárak, egy OpenSSL-verzió, amelyhez a bináris soha nem volt linkelve, és egy kernelmodul, amelyet az ügyfél megpróbál lefordítani. Olvasd el a hiányzó szimbólumokat ahelyett, hogy csomagokra tippelnél:

ldd $(command -v snx) | grep "not found"

Utána nézd meg a támogatási cikket ahhoz a gateway-kiadáshoz, amelyhez valóban csatlakozol. Egy blog listája nem kompatibilitási nyilatkozat, és az újabb disztribúció nem jelent újabb ügyfelet.

Az az X11-részlet, amely lehetővé teszi a képernyő nélküli munkát

Az SNX-nek X11-könyvtárakra van szüksége, de futó X-kiszolgálóra nem. Ez a különbség a teljes különbség egy fejetlen hoszton SSH-n át működő ügyfél és egy kimenet nélkül megakadni látszó ügyfél között. A disztribúciód által adott könyvtárcsomagot telepítsd, ne egy másik kiadásból másolt köteget, és a munkamenetből indítsd az ügyfelet, amelyiknek az alagútra szüksége van.

Miután csatlakozott,olvasd el az interfészt és az útvonalakat, mielőtt bármelyikben megbízol:

ip -brief addr show
ip route show

Az SNX alagút-interfészt hoz létre, és telepíti a portál által meghatározott útvonalakat. Ezek az útvonalak a gateway döntései, nem a tieid, ezért egy hiányzó prefix gateway oldali profilprobléma, nem ügyféghiba. Ellenőrizd a DNS-t is, mert a megosztott alagútú profilok gyakran olyan feloldót tolnak be, amelyre nem számítottál.

Amikor az SNX teljesen rossz válasz

A Check Point gatewayek IPsec- ésL2TPügyfél-telephely kapcsolatokat is lezárhatnak, és ezek strongSwan-nal, Libreswannal vagy a NetworkManager L2TP beépülőjével működnek. Ez gateway-konfiguráció, nem ügyféltrükk. Ha a gateway csak a Mobile Access portált teszi közzé,az IPsec-ügyfélnek nincs mivel tárgyalnia, és a napló időtúllépést mutat hitelesítési hiba helyett. Kérdezd meg, mely távoli hozzáférési blade-ek engedélyezettek, mielőtt bármi mást telepítesz.

Minden korlát itt a gateway oldalán él: a blade, a licenc, az ügyfél buildje és az útvonalprofil. A CLI évek óta működik. Az törik meg, hogy a Linux-támogatás egy általad birtokolt és ellenőrzött csomagot jelentene.