Check Point VPN Linux-ում. SNX-ը ներբեռնվող տեղադրիչ չէ

Դուք փնտրում եք Check Point-ի Linux հաճախորդը և չեք գտնում ներբեռնման էջ, որի վրա տեղադրիչ լինի։ Այդ բացակայությունը փաթեթավորման բաց չէ։ Check Point-ի Linux-ի հեռահար մուտքի հաճախորդը SSL Network Extender-ն է՝ SNX-ը, և դարպասը տալիս է այն ձեզ այն բանից հետո, երբ դուք նույնականացվում եք զննարկիչում։ Երբ դա տեղավորվում է, մնացած շփոթությունը իմաստ է ստանում, ներառյալ այն, թե ինչու դրա մասին գրեթե ամեն գրառում տարիներով հին է։

Առասպելը՝ կա հաճախորդ, որը ներբեռնում և տեղադրում եք

Այդ սպասումը գալիս է մյուս բոլոր մատակարարներից։ OpenVPN-ը, WireGuard-ը և առևտրային հաճախորդների մեծ մասը հրապարակում են փաթեթ կամ պահոց, և տեղադրումը լոկալ որոշում է, որը դուք միայնակ եք կայացնում։ Check Point-ը Linux-ում այդպես չի աշխատում։ Ընթացիկ դարպասի տարբերակների պաշտոնական ներբեռնումներում առանձին տեղադրիչ չկա, ուստի դրա որոնումը բերում է միայն հին ֆորումային թեմաներ և երրորդ կողմի հայելիներ։

Այդ հայելիները անօգուտից վատ են, որովհետև կառուցումը պետք է համապատասխանի այն դարպասին, որը մատուցում է այն։

Ինչ է իրականում SNX-ը և որտեղից է գալիս

SNX-ը հրամանի տողի հաճախորդ է, որի բինար ֆայլը snx-ն է, և այն տեղադրվում է այն սեսիայի միջոցով, որը դուք սկսում եք զննարկիչում դարպասի դեմ։ Պատմականորեն Java հավելվածը ներբեռնում և տեղադրում էր այն ձեր համաձայնությունից հետո։ Մեխանիզմը տարիների ընթացքում փոխվել է, աղբյուրը՝ ոչ։ Դարպասը մատուցում է այն կառուցումը, որը համապատասխանում է իրեն, դրա համար հաճախորդի և դարպասի տարբերակները զուգընթաց են գնում, և դրա համար հին փաթեթից պատճենված հաճախորդը աշխատում է միայն այնքան ժամանակ, քանի դեռ դարպասը խոսում է նրա հետ։

Սա նաև նշանակում է, որ դարպասը պետք է պատրաստ լինի նախքան հաճախորդի վրա ցանկացած աշխատանք նշանակություն կունենա։ Mobile Access Software Blade-ը պետք է լիցենզավորված և կարգավորված լինի, քանի որ առանց դրա տեղադրելու պորտալ չկա։ Հաճախորդի կողմի ոչ մի ջանք սեսիա չի ստեղծում այն դարպասի դեմ, որը չի առաջարկում այն։

Ուղղեք հաճախորդը դարպասին ձեր օգտատիրոջով և կարդացեք, թե ինչ է այն հաղորդում.

snx -s vpn.example.com -u your.name

Սահմանափակումը տեղադրիչը չէ, այլ դիստրիբյուտիվների աջակցությունը

SNX-ի համար մատակարարի աջակցվող դիստրիբյուտիվների ցանկը կարճ է և հին։ Հրապարակված հոդվածում այն կանգ է առնում Ubuntu 17.04-ի շուրջը, նույն ժամանակաշրջանի մի քանի openSUSE, Fedora և RHEL թողարկումների հետ միասին, և դեռ նշում է Ubuntu 12.10-ը։ Դա ասում է, թե ինչպես է ցանկը ծերանում, ոչ թե ինչ է պետք ձեր մեքենային։ Ընթացիկ դիստրիբյուտիվը պարզապես այնտեղ չկա։

Սպասեք գրադարանների անհամապատասխանությունների, նախքան աշխատող թունել սպասելը։ Սովորական երեքը՝ 64-բիթանոց համակարգում բացակայող 32-բիթանոց գրադարանները, OpenSSL-ի այն տարբերակը, որի հետ բինարը երբեք չի կապվել, և միջուկի մոդուլ, որը հաճախորդը փորձում է կառուցել։ Կարդացեք բացակայող սիմվոլները՝ փոխարենը փաթեթներ գուշակելու.

ldd $(command -v snx) | grep "not found"

Այնուհետև նայեք այն դարպասի թողարկման աջակցության հոդվածը, որին իրականում միանում եք։ Բլոգի ցանկը համատեղելիության հայտարարություն չէ, և ավելի նոր դիստրիբյուտիվը չի նշանակում ավելի նոր հաճախորդ։

X11-ի այն մանրամասը, որը հնարավոր է դարձնում առանց էկրանի աշխատանքը

SNX-ին պետք են X11 գրադարաններ, բայց ոչ աշխատող X սերվեր։ Այդ տարբերությունը հենց ամբողջ տարբերությունն է այն հաճախորդի միջև, որը աշխատում է SSH-ով առանց էկրանի հոսթի վրա, և նրա, որը կարծես կախված է առանց ելքի։ Տեղադրեք ձեր դիստրիբյուտիվի տրամադրած գրադարանի փաթեթը, ոչ թե այլ թողարկումից պատճենված փաթեթ, և գործարկեք հաճախորդը այն սեսիայից, որին պետք է թունելը։

Միանալուց հետոկարդացեք ինտերֆեյսը և երթուղիները, նախքան երկուսից որևէ մեկին վստահելը.

ip -brief addr show
ip route show

SNX-ը ստեղծում է թունելի ինտերֆեյս և տեղադրում է պորտալի սահմանած երթուղիները։ Այդ երթուղիները դարպասի որոշումն են, ոչ ձերը, ուստի բացակայող նախածանցը դարպասի կողմի պրոֆիլի խնդիր է, ոչ հաճախորդի սխալ։ Ստուգեք նաև DNS-ը, որովհետև split-tunnel պրոֆիլները հաճախ մղում են լուծիչ, որը չէիք սպասում։

Երբ SNX-ը բոլորովին սխալ պատասխան է

Check Point դարպասները կարող են նաև ավարտել IPsec ևL2TPհաճախորդից կայք միացումները, և դրանք աշխատում են strongSwan-ի, Libreswan-ի կամ NetworkManager-ի L2TP պլագինի հետ։ Դա դարպասի կարգավորում է, ոչ հաճախորդի հնարք։ Եթե դարպասը հրապարակում է միայն Mobile Access պորտալը,IPsec հաճախորդը բանակցելու ոչինչ չունի, և մատյանը ցույց է տալիս ժամանակի սպառում, ոչ նույնականացման ձախողում։ Հարցրեք, թե որ հեռահար մուտքի բլեյդներն են միացված, նախքան այլ բան տեղադրելը։

Այստեղ ամեն սահմանափակում դարպասի կողմում է՝ բլեյդը, լիցենզիան, հաճախորդի կառուցումը և երթուղիների պրոֆիլը։ CLI-ն աշխատում է տարիներ։ Կոտրվում է այն ենթադրությունը, թե Linux-ի աջակցությունը նշանակում է փաթեթ, որը ձեր սեփականությունն է և ձեր վերահսկողության տակ։