Linux'тө Check Point VPN: SNX жүктөп алып орнотуучу нерсе эмес

Сиз Check Point'тун Linux кардарын издеп, орноткучу бар жүктөө барагын таппайсыз. Бул жоктук таңгактоодогу кемчилик эмес. Check Point'тун Linux үчүн алыстан кирүү кардары — SSL Network Extender, башкача айтканда SNX, жана браузерде аутентификациядан өткөндөн кийин аны сизге шлюз берет. Бул орунга түшкөндө, калган баш аламандык да мааниге ээ болот, анын ичинде бул тууралуу дээрлик ар бир жазуу эмне үчүн бир нече жылдык экени.

Уламыш: жүктөп алып орнотуучу кардар бар

Бул күтүү бардык башка өндүрүүчүлөрдөн келет. OpenVPN, WireGuard жана көпчүлүк коммерциялык кардарлар пакет же репозиторий жарыялашат, аны орнотуу — өзүңүз жалгыз кабыл алган жергиликтүү чечим. Check Point Linux'то андай иштебейт. Азыркы шлюз версияларынын расмий жүктөөлөрүндө өзүнчө орноткуч жок, ошондуктан аны издөө эски форум темаларын жана үчүнчү тараптын күзгүлөрүн гана чыгарат.

Ал күзгүлөр пайдасыздан да жаман, анткени курулуш аны тейлеген шлюзга туура келиши керек.

SNX чындыгында эмне, жана кайдан келет

SNX — бинардык файлы snx деп аталган буйрук сабынын кардары, ал браузерде шлюзга каршы баштаган сессия аркылуу орнотулат. Тарыхый түрдө Java апплети сиз сунушту кабыл алгандан кийин аны жүктөп, орнотуп турган. Механизм жылдар бою өзгөрдү, булак өзгөргөн жок. Шлюз өзүнө туура келген курулушту тейлейт, ошондуктан кардар менен шлюздун версиялары кошо жүрөт жана эски пакеттен көчүрүлгөн кардар шлюз аны менен али сүйлөшкөнчө гана иштейт.

Бул кардардагы кандайдыр бир иш мааниге ээ болоорго чейин шлюз даяр болушу керек дегенди билдирет. Mobile Access Software Blade лицензияланып, конфигурацияланышы керек, анткени ансыз орнотуучу портал жок. Портал сунуштабаган шлюзга каршы кардар тараптагы эч кандай аракет сессия жаратпайт.

Кардарды өз колдонуучуңуз менен шлюзга багыттаңыз жана ал эмнени билдиргенин окуңуз:

snx -s vpn.example.com -u your.name

Чектөө орноткуч эмес, дистрибутивдерди колдоо

SNX үчүн өндүрүүчүнүн колдогон дистрибутивдеринин тизмеси кыска жана эски. Жарыяланган макалада ал болжол менен Ubuntu 17.04тө токтойт, ошол доордогу бир нече openSUSE, Fedora жана RHEL чыгарылыштары менен катар, жана али Ubuntu 12.10ды тизмелейт. Бул тизменин кантип картайганын айтат, сиздин машинага эмне керек экенин эмес. Азыркы дистрибутив анда такыр жок.

Иштеген туннелди күтпөстөн мурун китепканалардын дал келбестигин күтүңүз. Кадимки үчөө — 64 биттик системада жетишпеген 32 биттик китепканалар, бинардык эч качан байланбаган OpenSSL версиясы жана кардар курууга аракет кылган өзөк модулу. Пакеттерди божомолдоонун ордуна жетишпеген белгилерди окуңуз:

ldd $(command -v snx) | grep "not found"

Андан кийин чындап туташкан шлюз чыгарылышынын колдоо макаласын караңыз. Блогдогу тизме шайкештик жөнүндө билдирүү эмес, жаңыраак дистрибутив жаңыраак кардар дегенди билдирбейт.

Экрансыз ишти мүмкүн кылган X11 деталы

SNX X11 китепканаларын талап кылат, бирок иштеп турган X серверин талап кылбайт. Ошол айырма — экрансыз хостто SSH аркылуу иштеген кардар менен чыкпай элесиздей катып калган кардардын ортосундагы бүт айырма. Башка чыгарылыштан көчүрүлгөн топтомду эмес, дистрибутивиңиз берген китепкана пакетин орнотуңуз жана кардарды туннель керектелүүчү сессиядан иштетиңиз.

Туташкандан кийининтерфейс менен маршруттардын экөөнө тең ишенбестен мурун аларды окуңуз:

ip -brief addr show
ip route show

SNX туннель интерфейсин түзүп, портал аныктаган маршруттарды орнотот. Ал маршруттар сиздики эмес, шлюздун чечими, ошондуктан жетишпеген префикс кардардын катасы эмес, шлюз тараптагы профиль маселеси. Ошол эле учурда DNSди текшериңиз, анткени split-tunnel профилдери көбүнчө күтпөгөн resolverди түртүп киргизет.

SNX таптакыр туура эмес жооп болгондо

Check Point шлюздары IPsec жанаL2TPкардардан сайтка туташууларды да бүтүрө алат, жана алар strongSwan, Libreswan же NetworkManager'дын L2TP плагини менен иштейт. Бул шлюздун конфигурациясы, кардардын айласы эмес. Эгер шлюз болгону Mobile Access порталын жарыяласа,IPsec кардарынын сүйлөшүүгө эч нерсеси жок, жана журнал аутентификациянын ийгиликсиздигинин ордуна убакыттын бүткөнүн көрсөтөт. Башка нерсе орнотуудан мурун кайсы алыстан кирүү блейддери күйүк экенин сураңыз.

Бул жердеги ар бир чектөө шлюз тарапта: блейд, лицензия, кардардын курулушу жана маршрут профили. CLI жылдар бою иштейт. Сынган нерсе — Linux колдоосу өзүңүзгө таандык жана көзөмөлдөгөн пакет деген божомол.