Check Point VPN op Linux: SNX ass keng Download, déi een installéiert

Dir sicht de Check-Point-Client fir Linux an fannt keng Downloadsäit mat engem Installateur. Dës Absenz ass keng Lach am Packaging. De Linux-Client fir Fernzougrëff vum Check Point ass SSL Network Extender, SNX, an de Gateway gëtt en lech, nodeems Dir Iech an engem Browser authentifizéiert hutt. Wann dat sëtzt, gëtt de Rescht vun der Verwirrung Sënn, och firwat bal all Artikel doriwwer Joeren al ass.

De Mythos: et gëtt e Client, deen een erofgelueden an installéiert

D'Erwaardung kënnt vun all aneren Hiersteller. OpenVPN, WireGuard an déi meescht kommerziell Cliente publizéieren e Paket oder en Repository, an d'Installatioun ass eng lokal Entscheedung, déi Dir eleng hëlt. Check Point funktionéiert net esou op Linux. An den offiziellen Downloads fir aktuell Gateway-Versiounen gëtt et keen eegestännege Installateur, dowéinst bréngt d'Siche no engem nëmmen al Forenthreads an Drëtt-Partei-Spigelen.

Dës Spigelen sinn nach méi schlëmm wéi nëtzlos, well de Build muss zum Gateway passen, deen en zerwéiert.

Wat SNX tatsächlech ass, a wou en hierkënnt

SNX ass e Kommandozeile-Client, deem seng Binärdatei snx ass, an en gëtt iwwer eng Sitzung installéiert, déi Dir am Browser géint de Gateway start. Historesch huet e Java-Applet en erofgelueden an installéiert, nodeems Dir de Prompt akzeptéiert hutt. De Mechanismus huet sech iwwer d'Jore geännert, d'Quell net. De Gateway zerwéiert de Build, dee zu him selwer passt, dowéinst ginn Client- a Gateway-Versiounen zesummen, an dowéinst funktionéiert e Client, deen aus engem alen Paket kopéiert gouf, just soulaang de Gateway nach mat him schwätzt.

Dat heescht och, de Gateway muss prett sinn, ier iergendeng Aarbecht um Client eppes bedeit. Mobile Access Software Blade muss lizenzéiert a konfiguréiert sinn, well ouni et gëtt et kee Portal, vun deem aus een installéiert. Keng Unzuel u Client-aarbecht produzéiert eng Sitzung géint e Gateway, deen der keng ubitt.

Riicht de Client mam Benotzer op de Gateway, a liest wat en mëttelt:

snx -s vpn.example.com -u your.name

D'Restriktioun ass d'Ënnerstëtzung vun de Verdeelungen, net den Installateur

D'Lëscht vun den ënnerstëtzte Verdeelunge vum Hiersteller fir SNX ass kuerz an al. Am publizéierten Artikel hält se ëm Ubuntu 17.04 op, nieft e puer openSUSE-, Fedora- an RHEL-Versiounen aus därselwechter Zäit, an se zielt nach ëmmer Ubuntu 12.10 op. Dat seet Iech, wéi d'Lëscht al gëtt, net wat Äre Rechner brauch. Eng aktuell Verdeelung steet einfach net drop.

Rechent mat Bibliothéiks-Onstëmmegkeeten, éier Dir mat engem funktionéierenden Tunnel rechent. Déi üblech dräi sinn feelend 32-Bit-Bibliothéiken op engem 64-Bit-System, eng OpenSSL-Versioun, géint déi d'Binärdatei ni gelinkt gouf, an e Kernelmodul, deen de Client versicht ze bauen. Liest déi feelend Symboler, amplaz Paketen ze raden:

ldd $(command -v snx) | grep "not found"

Kuckt dann den Ënnerstëtzungsartikel fir déi Gateway-Versioun, mat där Dir Iech tatsächlech verbënnt. Eng Lëscht an engem Blog ass keng Kompatibilitéitserklärung, an eng nei Verdeelung bedeit net en neie Client.

Den X11-Detail, deen Aarbecht ouni Bildschierm méiglech mécht

SNX brauch X11-Bibliothéiken, awer keen lafenden X-Server. Dee Gruef ass de ganzen Ënnerscheed tëscht engem Client, deen iwwer SSH op engem Host ouni Bildschierm funktionéiert, an engem, deen ouni Ausgab ze hänke schéngt. Installéiert de Bibliothéikspaket vun Ärer Verdeelung amplaz e Bündel, deen aus enger anerer Versioun kopéiert gouf, a start de Client aus der Sitzung, déi den Tunnel brauch.

Nodeems en verbonnen ass,liest d'Interface an d'Routen, ier Dir engem vun de béide vertraut:

ip -brief addr show
ip route show

SNX erstellt eng Tunnel-Interface an installéiert d'Routen, déi de Portal festleet. Dës Route sinn d'Entscheedung vum Gateway an net Är, dofir ass e feelende Prefix e Profilproblem op der Gateway-Säit an net e Feeler am Client. Kontrolléiert gläichzäiteg DNS, well Split-Tunnel-Profile dacks e Resolver erofdrécken, deen Dir net erwaart hutt.

Wann SNX komplett déi falsch Äntwert ass

Check-Point-Gatewayen kënnen och IPsec- anL2TPClient-zu-Site-Verbindungen terminéieren, an déi funktionéieren mat strongSwan, Libreswan oder dem L2TP-Plugin vum NetworkManager. Dat ass eng Gateway-Konfiguratioun, keen Trick vum Client. Wann de Gateway just de Mobile-Access-Portal publizéiert,huet en IPsec-Client näischt ze verhandelen, an de Log weist en Timeout amplaz en Authentifikatiounsfeeler. Frot, wéi eng Fernzougrëffs-Blades aktivéiert sinn, éier Dir eppes anescht installéiert.

All Restriktioun hei läit op der Gateway-Säit: de Blade, d'Lizenz, de Build vum Client an de Routenprofil. D'CLI funktionéiert zënter Joren. Wat brécht, ass d'Anhuel, datt Linux-Ënnerstëtzung e Paket bedeit, deen Dir besëtzt a kontrolléiert.