Check Point VPN Linux: SNX nėra atsisiuntimas, kurį įdiegiate

Ieškote „Check Point“ Linux kliento ir nerandate atsisiuntimo puslapio su diegimo programa. Šio nebuvimo negalima vadinti pakavimo spraga. „Check Point“ nuotolinės prieigos Linux klientas yra SSL Network Extender, SNX, ir šliuzas jį perduoda jums po to, kai autentifikuojatės naršyklėje. Kai tai susidėlioja, likusi painiava įgyja prasmę, įskaitant tai, kodėl beveik kiekvienas tekstas apie tai yra kelerių metų senumo.

Mitas: yra klientas, kurį atsisiunčiate ir įdiegiate

Šis lūkestis ateina iš visų kitų tiekėjų. OpenVPN, WireGuard ir dauguma komercinių klientų skelbia paketą arba saugyklą, o diegimas yra vietinis sprendimas, kurį priimate vieni. „Check Point“ Linuxe taip neveikia. Dabartinių šliuzo versijų oficialiuose atsisiuntimuose nėra atskiros diegimo programos, todėl jos paieška pateikia tik senus forumo siūlus ir trečiųjų šalių veidrodžius.

Tie veidrodžiai blogesni už nenaudingus, nes kūrinys turi atitikti jį aptarnaujantį šliuzą.

Kas iš tikrųjų yra SNX ir iš kur jis ateina

SNX yra komandinės eilutės klientas, kurio dvejetainis failas yra snx, ir jis įdiegiamas per sesiją, kurią pradedate naršyklėje prieš šliuzą. Istoriškai Java programa jį atsisiųsdavo ir įdiegdavo po to, kai sutikote su raginimu. Mechanizmas per metus keitėsi, šaltinis – ne. Šliuzas pateikia tą kūrinį, kuris atitinka jį patį, todėl kliento ir šliuzo versijos juda kartu, ir todėl iš seno paketo nukopijuotas klientas veikia tik tol, kol šliuzas dar su juo kalba.

Tai taip pat reiškia, kad šliuzas turi būti paruoštas anksčiau, nei bet koks kliento darbas įgauna prasmę. Mobile Access Software Blade turi būti licencijuotas ir sukonfigūruotas, nes be jo nėra portalo, iš kurio diegti. Jokios pastangos kliento pusėje nesukuria sesijos su šliuzu, kuris jos nesiūlo.

Nukreipkite klientą į šliuzą su savo naudotoju ir perskaitykite, ką jis praneša:

snx -s vpn.example.com -u your.name

Apribojimas yra distribucijų palaikymas, o ne diegimo programa

Tiekėjo palaikomų distribucijų, skirtų SNX, sąrašas trumpas ir senas. Paskelbtame straipsnyje jis sustoja ties Ubuntu 17.04, šalia kelių tos pačios eros openSUSE, Fedora ir RHEL leidimų, ir vis dar nurodo Ubuntu 12.10. Tai pasako, kaip sąrašas sensta, o ne ko reikia jūsų mašinai. Dabartinės distribucijos jame tiesiog nėra.

Tikėkitės bibliotekų neatitikimų anksčiau, nei tikėsitės veikiančio tunelio. Įprasti trys yra trūkstamos 32 bitų bibliotekos 64 bitų sistemoje, OpenSSL versija, su kuria dvejetainis failas niekada nebuvo susietas, ir branduolio modulis, kurį klientas bando sukurti. Skaitykite trūkstamus simbolius, o ne spėliokite paketus:

ldd $(command -v snx) | grep "not found"

Tada patikrinkite to šliuzo leidimo, prie kurio iš tikrųjų jungiatės, palaikymo straipsnį. Tinklaraščio sąrašas nėra suderinamumo pareiškimas, o naujesnė distribucija nereiškia naujesnio kliento.

X11 detalė, kuri leidžia dirbti be ekrano

SNX reikia X11 bibliotekų, bet ne veikiančio X serverio. Šis skirtumas yra visas skirtumas tarp kliento, kuris veikia per SSH ekrano neturinčiame hoste, ir to, kuris atrodo sustingęs be jokios išvesties. Įdiekite savo distribucijos teikiamą bibliotekų paketą, o ne iš kito leidimo nukopijuotą rinkinį, ir paleiskite klientą iš sesijos, kuriai reikia tunelio.

Prisijungus,perskaitykite sąsają ir maršrutus, prieš pasitikėdami kuriuo nors iš jų:

ip -brief addr show
ip route show

SNX sukuria tunelio sąsają ir įdiegia maršrutus, kuriuos nustato portalas. Tie maršrutai yra šliuzo sprendimas, o ne jūsų, todėl trūkstamas prefiksas yra profilio problema šliuzo pusėje, o ne kliento klaida. Tuo pačiu metu patikrinkite DNS, nes split-tunnel profiliai dažnai įstumia rezolverį, kurio nesitikėjote.

Kai SNX yra visiškai neteisingas atsakymas

„Check Point“ šliuzai taip pat gali užbaigti IPsec irL2TPkliento–vietos ryšius, ir tie veikia su strongSwan, Libreswan arba NetworkManager L2TP įskiepiu. Tai šliuzo konfigūracija, o ne kliento triukas. Jei šliuzas skelbia tik Mobile Access portalą,IPsec klientui nėra dėl ko derėtis, ir žurnale rodomas laiko limitas, o ne autentifikavimo klaida. Prieš diegdami ką nors kita, paklauskite, kurie nuotolinės prieigos moduliai įjungti.

Kiekvienas apribojimas čia glūdi šliuzo pusėje: modulis, licencija, kliento kūrinys ir maršrutų profilis. CLI veikia jau metus. Lūžta prielaida, kad Linux palaikymas reiškia paketą, kurį turite ir kontroliuojate.