Linux жүйесіндегі Check Point VPN: SNX жүктеп алып орнататын нәрсе емес

Сіз Check Point-тың Linux клиентін іздейсіз, бірақ орнатушысы бар жүктеу бетін таппайсыз. Бұл жоқтық қаптамадағы олқылық емес. Check Point-тың Linux жүйесіне арналған қашықтан қол жеткізу клиенті — SSL Network Extender, яғни SNX, және браузерде аутентификациядан өткеннен кейін оны сізге шлюз береді. Осы орынға түскенде, қалған шатасу да мәнге ие болады, соның ішінде бұл туралы әр жазбаның неге бірнеше жылдық екені.

Аңыз: жүктеп алып орнататын клиент бар

Бұл күту барлық басқа өндірушілерден келеді. OpenVPN, WireGuard және көптеген коммерциялық клиенттер пакет немесе репозиторий жариялайды, ал оны орнату — өзіңіз жалғыз қабылдайтын жергілікті шешім. Check Point Linux жүйесінде олай жұмыс істемейді. Ағымдағы шлюз нұсқаларының ресми жүктеулерінде жеке орнатушы жоқ, сондықтан оны іздеу тек ескі форум тақырыптары мен үшінші тарап айналарын шығарады.

Бұл айналар пайдасыздан да нашар, өйткені құрастырылым оны ұсынатын шлюзге сәйкес болуы керек.

SNX шын мәнінде не, және ол қайдан келеді

SNX — бинарлық файлы snx деп аталатын командалық жол клиенті және ол браузерде шлюзге қарсы бастаған сессия арқылы орнатылады. Тарихи түрде Java апплеті сіз сұрауды қабылдағаннан кейін оны жүктеп алып, орнататын. Механизм жылдар бойы өзгерді, қайнар көзі өзгерген жоқ. Шлюз өзіне сәйкес келетін құрастырылымды ұсынады, сондықтан клиент пен шлюз нұсқалары қатар жүреді және ескі пакеттен көшірілген клиент шлюз онымен әлі сөйлесіп тұрғанша ғана жұмыс істейді.

Бұл клиенттегі кез келген жұмыс маңызды болмас бұрын шлюз дайын болуы керек дегенді білдіреді. Mobile Access Software Blade лицензияланып, конфигурациялануы керек, өйткені онсыз орнататын портал жоқ. Порталды ұсынбайтын шлюзге қарсы клиент жағындағы ешқандай күш-жігер сессия жасамайды.

Клиентті өз пайдаланушыңызбен шлюзге бағыттаңыз және оның не хабарлайтынын оқыңыз:

snx -s vpn.example.com -u your.name

Шектеу — орнатушы емес, дистрибутивтерді қолдау

SNX үшін өндірушінің қолдайтын дистрибутивтер тізімі қысқа және ескі. Жарияланған мақалада ол шамамен Ubuntu 17.04-те тоқтайды, сол дәуірдегі бірнеше openSUSE, Fedora және RHEL шығарылымдарымен қатар, және әлі де Ubuntu 12.10-ды тізімдейді. Бұл тізімнің қалай картаятынын айтады, машинаңызға не қажет екенін емес. Ағымдағы дистрибутив онда мүлде жоқ.

Жұмыс істейтін туннельді күтпес бұрын кітапханалардың сәйкессіздігін күтіңіз. Әдеттегі үшеуі — 64 бит жүйеде жетіспейтін 32 бит кітапханалар, бинарлық ешқашан байланыспаған OpenSSL нұсқасы және клиент құрастыруға тырысатын ядро модулі. Пакеттерді болжаудың орнына жетіспейтін таңбаларды оқыңыз:

ldd $(command -v snx) | grep "not found"

Содан кейін нақты қосылатын шлюз шығарылымының қолдау мақаласын қараңыз. Блогтағы тізім үйлесімділік туралы мәлімдеме емес, ал жаңарақ дистрибутив жаңарақ клиент дегенді білдірмейді.

Экрансыз жұмысты мүмкін ететін X11 бөлшегі

SNX-ке X11 кітапханалары қажет, бірақ жұмыс істеп тұрған X сервері қажет емес. Осы айырмашылық — экрансыз хостта SSH арқылы жұмыс істейтін клиент пен шығыссыз қатып қалғандай көрінетін клиент арасындағы бүкіл айырмашылық. Басқа шығарылымнан көшірілген буманы емес, дистрибутивіңіз ұсынатын кітапхана пакетін орнатыңыз және клиентті туннель қажет ететін сессиядан іске қосыңыз.

Қосылғаннан кейінинтерфейс пен маршруттарды екеуіне де сенбес бұрын оқыңыз:

ip -brief addr show
ip route show

SNX туннель интерфейсін жасайды және портал анықтаған маршруттарды орнатады. Бұл маршруттар — сіздің емес, шлюздің шешімі, сондықтан жетіспейтін префикс клиенттің қатесі емес, шлюз жағындағы профиль мәселесі. Сонымен қатар DNS-ті тексеріңіз, өйткені split-tunnel профильдері көбіне күтпеген resolver-ді итеріп жібереді.

SNX мүлде дұрыс емес жауап болғанда

Check Point шлюздері IPsec жәнеL2TPклиенттен сайтқа қосылымдарын да тоқтата алады, және олар strongSwan, Libreswan немесе NetworkManager-дің L2TP плагинімен жұмыс істейді. Бұл шлюз конфигурациясы, клиенттің айласы емес. Егер шлюз тек Mobile Access порталын жарияласа,IPsec клиентінің келісуге ештеңесі жоқ, және журнал аутентификация сәтсіздігінің орнына уақыттың біткенін көрсетеді. Басқа нәрсе орнатпас бұрын қай қашықтан қол жеткізу блейдтері қосулы екенін сұраңыз.

Мұндағы әр шектеу шлюз жағында: блейд, лицензия, клиенттің құрастырылымы және маршрут профилі. CLI жылдар бойы жұмыс істейді. Сынатын нәрсе — Linux қолдауы өзіңізге тиесілі және бақылайтын пакет деген болжам.