Linux дээрх Check Point VPN: SNX нь татаж суулгадаг зүйл биш

Та Check Point-ын Linux клиентийг хайж, суулгагч бүхий татах хуудас олдохгүй байна. Тэр байхгүй байдал нь багцлалтын цоорхой биш. Check Point-ын Linux-ын алсын хандалтын клиент нь SSL Network Extender, өөрөөр хэлбэл SNX бөгөөд хөтөч дээр баталгаажуулсны дараа гарц танд түүнийг өгдөг. Энэ нь байрандаа орвол бусад будлиан утга учиртай болно, түүний тухай бараг бүх бичвэр яагаад хэдэн жилийн хуучин байдаг ч гэсэн.

Домог: татаж суулгадаг клиент байдаг

Энэ хүлээлт бусад бүх нийлүүлэгчээс ирдэг. OpenVPN, WireGuard болон ихэнх арилжааны клиентүүд багц эсвэл репозиторий нийтэлдэг, суулгах нь та ганцаараа гаргадаг локал шийдвэр юм. Check Point Linux дээр тэгж ажиллахгүй. Одоогийн гарцын хувилбаруудын албан ёсны таталтад тусдаа суулгагч байхгүй, тиймээс түүнийг хайхад зөвхөн хуучин форумын сэдэв, гуравдагч талын толь л гарч ирнэ.

Тэдгээр толь нь хэрэггүйгээс ч дор, учир нь бүтээц нь түүнийг үйлчилдэг гарцтай тохирох ёстой.

SNX үнэндээ юу вэ, хаанаас ирдэг вэ

SNX бол хоёртын файл нь snx гэдэг командын мөрийн клиент бөгөөд хөтөч дээр гарцын эсрэг эхлүүлсэн сессээр суулгагдана. Түүхэнд Java апплет таны зөвшөөрлийн дараа түүнийг татаж суулгадаг байв. Механизм жилүүдэд өөрчлөгдсөн, эх сурвалж өөрчлөгдөөгүй. Гарц өөртэй нь тохирох бүтээцийг үйлчилдэг, иймээс клиент ба гарцын хувилбарууд хамт явдаг, хуучин багцаас хуулсан клиент нь гарц түүнтэй ярьж байгаа тэр л хугацаанд ажилладаг.

Энэ нь мөн клиент дээрх ямар ч ажил утга учиртай болохоос өмнө гарц бэлэн байх ёстой гэсэн үг. Mobile Access Software Blade-ийг лицензлэж, тохируулах шаардлагатай, учир нь түүнгүйгээр суулгах портал байхгүй. Портал санал болгодоггүй гарцын эсрэг клиентийн талын ямар ч хүчин чармайлт сесс үүсгэхгүй.

Клиентийг өөрийн хэрэглэгчээр гарц руу чиглүүлж, юу мэдээлж байгааг уншаарай:

snx -s vpn.example.com -u your.name

Хязгаарлалт нь суулгагч биш, харин түгээлтүүдийн дэмжлэг

SNX-д зориулсан нийлүүлэгчийн дэмждэг түгээлтүүдийн жагсаалт богино, хуучин. Нийтлэгдсэн өгүүлэлд энэ нь Ubuntu 17.04 орчимд зогсдог, мөн үеийн хэдэн openSUSE, Fedora, RHEL хувилбартай хамт, одоо ч Ubuntu 12.10-ыг жагсаасан байдаг. Энэ нь жагсаалт хэрхэн хуучирдгийг хэлнэ, таны машинд юу хэрэгтэйг биш. Одоогийн түгээлт тэнд огт байхгүй.

Ажилладаг туннелийг хүлээхээс өмнө номын сангийн зөрүүг хүлээ. Ердийн гурав нь 64 битийн системд дутуу 32 битийн номын сангууд, хоёртын файл хэзээ ч холбогдоогүй OpenSSL хувилбар, клиент бүтээхийг оролддог цөмийн модуль юм. Багцуудыг таамаглахын оронд дутуу тэмдэгтүүдийг уншаарай:

ldd $(command -v snx) | grep "not found"

Дараа нь бодитоор холбогдож буй гарцын хувилбарын дэмжлэгийн өгүүллийг үзээрэй. Блогын жагсаалт нь нийцтэй байдлын мэдэгдэл биш, шинэ түгээлт нь шинэ клиент гэсэн үг биш.

Дэлгэцгүй ажлыг боломжтой болгодог X11-ийн дэлгэрэнгүй

SNX-д X11 номын сангууд хэрэгтэй, гэхдээ ажиллаж буй X сервер хэрэггүй. Тэр ялгаа нь дэлгэцгүй хост дээр SSH-ээр ажилладаг клиент ба ямар ч гаралтгүй гацсан мэт харагдах клиентийн хоорондох бүх ялгаа юм. Өөр хувилбараас хуулсан багц биш, таны түгээлтийн өгдөг номын сангийн багцыг суулгаж, туннель хэрэгтэй сессээс клиентийг ажиллуулаарай.

Холбогдсоны дарааинтерфэйс ба маршрутыг аль алинд нь итгэхээс өмнө уншаарай:

ip -brief addr show
ip route show

SNX туннелийн интерфэйс үүсгэж, порталын тодорхойлсон маршрутуудыг суулгана. Тэдгээр маршрут нь гарцын шийдвэр, таных биш, тиймээс дутуу угтвар нь клиентийн алдаа биш, гарцын талын профайлын асуудал юм. DNS-ийг зэрэг шалгаарай, учир нь split-tunnel профайлууд ихэвчлэн таны хүлээгээгүй шийдвэрлэгчийг түлхдэг.

SNX огт буруу хариулт байх үед

Check Point гарцууд IPsec болонL2TPклиентээс сайт руу холболтыг мөн дуусгаж чадна, тэдгээр нь strongSwan, Libreswan эсвэл NetworkManager-ийн L2TP залгаасаар ажилладаг. Энэ нь гарцын тохиргоо, клиентийн заль мэх биш. Хэрэв гарц зөвхөн Mobile Access порталыг нийтэлдэг болIPsec клиентэд хэлэлцэх зүйл байхгүй, бүртгэлд баталгаажуулалтын алдааны оронд хугацаа дууссан гэж харагдана. Өөр юу ч суулгахаас өмнө аль алсын хандалтын блэйдүүд идэвхтэй байгааг асуугаарай.

Энд бүх хязгаарлалт гарцын талд оршдог: блэйд, лиценз, клиентийн бүтээц, маршрутын профайл. CLI олон жил ажиллаж байна. Эвддэг зүйл нь Linux-ийн дэмжлэг гэдэг нь таны эзэмшиж, хянадаг багц гэсэн таамаг юм.