Check Point VPN на Linux: SNX не е преземање што се инсталира

Го барате клиентот на Check Point за Linux и не наоѓате страница за преземање со инсталер. Тоа отсуство не е празнина во пакувањето. Клиентот за далечински пристап на Check Point за Linux е SSL Network Extender, SNX, и порталот ви го дава откако ќе се автентификувате во прелистувач. Кога тоа ќе се среди, остатокот од збунетоста има смисла, вклучително зошто речиси секој текст за ова е стар со години.

Мит: има клиент што го преземате и инсталирате

Очекувањето доаѓа од секој друг продавач. OpenVPN, WireGuard и повеќето комерцијални клиенти објавуваат пакет или складиште, а инсталирањето е локална одлука што ја носите сами. Check Point не работи така на Linux. Нема самостоен инсталер во официјалните преземања за тековните верзии на порталот, па барањето враќа само стари форумски нишки и огледала од трети страни.

Тие огледала се полоши од бескорисни, бидејќи градбата мора да одговара на порталот што ја служи.

Што е всушност SNX и од каде доаѓа

SNX е клиент на командна линија чијшто бинарен фајл е snx, и се инсталира преку сесија што ја започнувате во прелистувачот кон порталот. Историски Java аплет го преземаше и инсталираше откако ќе го прифатите прашањето. Механизмот се менуваше со годините, изворот не. Порталот ја служи градбата што одговара на самиот него, затоа верзиите на клиентот и порталот одат заедно и затоа клиент копиран од стар пакет работи само додека порталот сè уште разговара со него.

Ова исто така значи дека порталот мора да биде подготвен пред која било работа на клиентот да има смисла. Mobile Access Software Blade мора да биде лиценциран и конфигуриран, бидејќи без него нема портал од кој се инсталира. Никаков труд на страната на клиентот не создава сесија кон портал што не нуди таква.

Насочете го клиентот кон порталот со вашето корисничко име и прочитајте што известува:

snx -s vpn.example.com -u your.name

Ограничувањето е поддршката за дистрибуции, не инсталерот

Списокот на поддржани дистрибуции од продавачот за SNX е краток и стар. Во објавениот член застанува околу Ubuntu 17.04, покрај неколку изданија на openSUSE, Fedora и RHEL од истото време, и сè уште го наведува Ubuntu 12.10. Тоа ви кажува како списокот старее, не што и треба на вашата машина. Тековна дистрибуција едноставно не е на него.

Очекувајте несовпаѓања во библиотеките пред да очекувате тунел што работи. Вообичаените три се библиотеки од 32 бита што недостигаат на систем од 64 бита, верзија на OpenSSL со која бинарниот фајл никогаш не бил поврзан, и модул на јадрото што клиентот се обидува да го изгради. Читајте ги симболите што недостигаат наместо да погодувате пакети:

ldd $(command -v snx) | grep "not found"

Потоа проверете го членот за поддршка за изданието на порталот кон кое навистина се поврзувате. Список на блог не е изјава за компатибилност, и понова дистрибуција не значи понов клиент.

Деталот со X11 што го овозможува работењето без екран

SNX бара библиотеки X11, но не и X сервер што работи. Таа разлика е целата разлика помеѓу клиент што работи преку SSH на домаќин без екран и оној што изгледа заглавен без излез. Инсталирајте го пакетот библиотеки што го дава вашата дистрибуција, а не пакет копиран од друго издание, и стартувајте го клиентот од сесијата што му треба тунелот.

Откако ќе се поврзе,прочитајте го интерфејсот и рутите пред да и верувате на кое било од двете:

ip -brief addr show
ip route show

SNX создава тунелски интерфејс и ги инсталира рутите што ги одредува порталот. Тие рути се одлука на порталот, не ваша, па префиксот што недостига е проблем со профилот на страната на порталот, а не грешка во клиентот. Проверете го DNS во исто време, бидејќи профилите со поделен тунел често туркаат резолвер што не сте го очекувале.

Кога SNX е сосема погрешен одговор

Порталите на Check Point можат да завршуваат и врски IPsec иL2TPод клиент кон локација, и тие работат со strongSwan, Libreswan или L2TP приклучокот на NetworkManager. Тоа е конфигурација на порталот, не трик на клиентот. Ако порталот објавува само порталот Mobile Access,клиентот за IPsec нема за што да преговара, и дневникот покажува истекување на време наместо неуспех при автентикација. Прашајте кои blade-ови за далечински пристап се вклучени пред да инсталирате нешто друго.

Секое ограничување овде живее на страната на порталот: blade-от, лиценцата, градбата на клиентот и профилот на рутите. CLI работи со години. Она што се крши е претпоставката дека поддршката за Linux значи пакет што го поседувате и контролирате.