Check Point VPN sistēmā Linux: SNX nav lejupielāde, ko instalē

Jūs meklējat Check Point Linux klientu un neatrodat lejupielādes lapu ar instalētāju. Šī neesamība nav iepakojuma robiņš. Check Point Linux attālinātās piekļuves klients ir SSL Network Extender, SNX, un vārteja to jums nodod pēc tam, kad esat autentificējies pārlūkprogrammā. Kad tas nostājas, arī pārējais juceklis iegūst jēgu, tostarp kāpēc gandrīz katrs raksts par to ir vairākus gadus vecs.

Mīts: ir klients, ko lejupielādējat un instalējat

Šīs gaidības nāk no visiem citiem piegādātājiem. OpenVPN, WireGuard un lielākā daļa komerciālo klientu publicē pakotni vai repozitoriju, un instalēšana ir vietējs lēmums, ko pieņemat viens. Check Point sistēmā Linux tā nedarbojas. Pašreizējo vārtejas versiju oficiālajās lejupielādēs nav atsevišķa instalētāja, tāpēc tā meklēšana atklāj tikai vecus foruma pavedienus un trešo pušu spoguļus.

Šie spoguļi ir sliktāki par bezjēdzīgiem, jo būvējumam ir jāatbilst vārtejai, kas to pasniedz.

Kas īsti ir SNX un no kurienes tas nāk

SNX ir komandrindas klients, kura binārais fails ir snx, un tas tiek instalēts caur sesiju, ko sākat pārlūkprogrammā pret vārteju. Vēsturiski Java applet to lejupielādēja un instalēja pēc tam, kad apstiprinājāt uzvedni. Mehānisms gadu gaitā mainījies, avots nav. Vārteja pasniedz to būvējumu, kas atbilst tai pašai, tāpēc klienta un vārtejas versijas iet kopā, un tāpēc no vecas pakotnes nokopēts klients darbojas tikai tik ilgi, kamēr vārteja ar to vēl runā.

Tas nozīmē arī to, ka vārtejai jābūt gatavai pirms jebkurš darbs pie klienta kaut ko nozīmē. Mobile Access Software Blade ir jābūt licencētam un konfigurētam, jo bez tā nav portāla, no kura instalēt. Nekādi klienta puses centieni nerada sesiju pret vārteju, kas to nepiedāvā.

Pavērsiet klientu uz vārteju ar savu lietotāju un izlasiet, ko tas ziņo:

snx -s vpn.example.com -u your.name

Ierobežojums ir distribūciju atbalsts, nevis instalētājs

Piegādātāja atbalstīto distribūciju saraksts SNX ir īss un vecs. Publicētajā rakstā tas apstājas ap Ubuntu 17.04, līdzās dažām tā laika openSUSE, Fedora un RHEL versijām, un tajā joprojām ir Ubuntu 12.10. Tas stāsta, kā saraksts noveco, nevis ko vajag jūsu mašīnai. Pašreizējās distribūcijas tajā vienkārši nav.

Gaidiet bibliotēku nesakritības, pirms gaidāt strādājošu tuneli. Ierastās trīs ir trūkstošas 32 bitu bibliotēkas 64 bitu sistēmā, OpenSSL versija, ar ko binārais fails nekad nav bijis saistīts, un kodola modulis, ko klients mēģina būvēt. Lasiet trūkstošos simbolus, nevis miniet pakotnes:

ldd $(command -v snx) | grep "not found"

Pēc tam apskatiet tās vārtejas laidiena atbalsta rakstu, ar kuru tiešām savienojaties. Blogs ar sarakstu nav saderības paziņojums, un jaunāka distribūcija nenozīmē jaunāku klientu.

X11 detaļa, kas padara iespējamu darbu bez ekrāna

SNX ir vajadzīgas X11 bibliotēkas, bet ne darbojošs X serveris. Šī atšķirība ir visa atšķirība starp klientu, kas darbojas pa SSH uz bezekrāna saimnieka, un tādu, kas izskatās iesalis bez jebkādas izvades. Instalējiet savas distribūcijas nodrošināto bibliotēkas pakotni, nevis no cita laidiena nokopētu komplektu, un palaidiet klientu no sesijas, kurai vajadzīgs tunelis.

Kad tas savienojas,izlasiet interfeisu un maršrutus, pirms uzticaties kaut vienam no tiem:

ip -brief addr show
ip route show

SNX izveido tuneļa interfeisu un instalē maršrutus, ko nosaka portāls. Šie maršruti ir vārtejas lēmums, nevis jūsu, tāpēc trūkstošs prefikss ir profila problēma vārtejas pusē, nevis klienta kļūda. Vienlaikus pārbaudiet DNS, jo split-tunnel profili bieži iespiež risinātāju, ko negaidījāt.

Kad SNX ir pilnīgi nepareiza atbilde

Check Point vārtejas var arī pārtraukt IPsec unL2TPsavienojumus no klienta uz vietu, un tie darbojas ar strongSwan, Libreswan vai NetworkManager L2TP spraudni. Tā ir vārtejas konfigurācija, nevis klienta triks. Ja vārteja publicē tikai Mobile Access portālu,IPsec klientam nav par ko vienoties, un žurnālā redzams taimauts, nevis autentifikācijas kļūda. Pirms instalējat ko citu, pajautājiet, kuri attālinātās piekļuves moduļi ir ieslēgti.

Visi ierobežojumi šeit mīt vārtejas pusē: modulis, licence, klienta būvējums un maršrutu profils. CLI darbojas jau gadiem. Lūzt pieņēmums, ka Linux atbalsts nozīmē pakotni, kas jums pieder un ko kontrolējat.