Check Point VPN di Linux: SNX bukan unduhan yang dipasang

Anda mencari klien Check Point untuk Linux dan tidak menemukan halaman unduhan berisi pemasang. Ketiadaan itu bukan celah pengemasan. Klien akses jarak jauh Check Point untuk Linux adalah SSL Network Extender, SNX, dan gateway menyerahkannya kepada Anda setelah Anda mengautentikasi di browser. Begitu itu dipahami, sisa kebingungannya masuk akal, termasuk mengapa hampir setiap tulisan tentangnya berumur tahun.

Mitos: ada klien yang Anda unduh lalu pasang

Harapan itu datang dari setiap vendor lain. OpenVPN, WireGuard, dan sebagian besar klien komersial menerbitkan paket atau repositori, dan memasangnya adalah keputusan lokal yang Anda ambil sendiri. Check Point tidak bekerja seperti itu di Linux. Tidak ada pemasang mandiri di unduhan resmi untuk versi gateway saat ini, jadi mencarinya hanya memunculkan utas forum lama dan cermin pihak ketiga.

Cermin-cermin itu lebih buruk daripada tidak berguna, karena build harus cocok dengan gateway yang menyajikannya.

Apa sebenarnya SNX, dan dari mana asalnya

SNX adalah klien baris perintah yang binernya bernama snx, dan dipasang melalui sesi yang Anda mulai di browser terhadap gateway. Secara historis sebuah applet Java mengunduh dan memasangnya setelah Anda menyetujui permintaan itu. Mekanismenya berubah selama bertahun-tahun, sumbernya tidak. Gateway menyajikan build yang cocok dengan dirinya sendiri, itulah sebabnya versi klien dan gateway saling mengikuti, dan sebabnya klien yang disalin dari paket lama hanya bekerja selama gateway masih berbicara dengannya.

Ini juga berarti gateway harus siap sebelum pekerjaan apa pun di klien menjadi penting. Mobile Access Software Blade harus dilisensikan dan dikonfigurasi, karena tanpanya tidak ada portal untuk memasang. Tidak ada upaya di sisi klien yang menghasilkan sesi terhadap gateway yang tidak menawarkannya.

Arahkan klien ke gateway dengan pengguna Anda, dan baca apa yang dilaporkannya:

snx -s vpn.example.com -u your.name

Kendalanya adalah dukungan distribusi, bukan pemasang

Daftar distribusi yang didukung vendor untuk SNX pendek dan tua. Dalam artikel yang diterbitkan, daftar itu berhenti di sekitar Ubuntu 17.04, bersama beberapa rilis openSUSE, Fedora, dan RHEL dari masa yang sama, dan masih mencantumkan Ubuntu 12.10. Itu memberi tahu Anda bagaimana daftar itu menua, bukan apa yang dibutuhkan mesin Anda. Distribusi saat ini sama sekali tidak ada di sana.

Perkirakan ketidakcocokan pustaka sebelum mengharapkan terowongan yang bekerja. Tiga yang biasa adalah pustaka 32-bit yang hilang pada sistem 64-bit, versi OpenSSL yang tidak pernah menjadi tempat biner ditautkan, dan modul kernel yang coba dibangun klien. Baca simbol yang hilang alih-alih menebak paket:

ldd $(command -v snx) | grep "not found"

Lalu periksa artikel dukungan untuk rilis gateway yang benar-benar Anda hubungi. Daftar di blog bukan pernyataan kompatibilitas, dan distribusi yang lebih baru tidak berarti klien yang lebih baru.

Detail X11 yang membuat kerja tanpa layar mungkin

SNX membutuhkan pustaka X11 tetapi tidak server X yang berjalan. Perbedaan itulah seluruh beda antara klien yang bekerja lewat SSH pada host tanpa layar dan klien yang tampak menggantung tanpa keluaran. Pasang paket pustaka yang disediakan distribusi Anda, bukan bundel yang disalin dari rilis lain, dan jalankan klien dari sesi yang membutuhkan terowongan.

Setelah terhubung,baca antarmuka dan rutenya sebelum Anda memercayai keduanya:

ip -brief addr show
ip route show

SNX membuat antarmuka terowongan dan memasang rute yang ditetapkan portal. Rute itu keputusan gateway, bukan keputusan Anda, jadi prefiks yang hilang adalah masalah profil di sisi gateway dan bukan bug klien. Periksa DNS pada saat yang sama, karena profil split-tunnel sering mendorong resolver yang tidak Anda duga.

Ketika SNX sama sekali jawaban yang salah

Gateway Check Point juga dapat menterminasi koneksi IPsec danL2TPdari klien ke situs, dan itu bekerja dengan strongSwan, Libreswan, atau plugin L2TP NetworkManager. Itu konfigurasi gateway, bukan trik klien. Jika gateway hanya menerbitkan portal Mobile Access,klien IPsec tidak punya apa pun untuk dinegosiasikan, dan log menunjukkan waktu habis alih-alih kegagalan autentikasi. Tanyakan blade akses jarak jauh mana yang aktif sebelum memasang apa pun yang lain.

Setiap kendala di sini hidup di sisi gateway: blade, lisensi, build klien, dan profil rute. CLI sudah bekerja bertahun-tahun. Yang rusak adalah anggapan bahwa dukungan Linux berarti paket yang Anda miliki dan kendalikan.