Linux वर SNX: 32-बिट लायब्ररी आणि स्वतः रीसेट होणारा रिझॉल्व्हर

Check Point चा SSL Network Extender Linux वर चार ओळखण्यायोग्य प्रकारे अपयशी होतो, आणि त्यांपैकी तीन लॉगिन समस्या म्हणून चुकीने वाचल्या जातात। एकतर बायनरी सुरू होत नाही, किंवा सुरू होऊन कोणताही मार्ग सोडत नाही, किंवा जोडले जाते आणि नाव निराकरण मरते, किंवा ब्राउझर पोर्टल काम करते पण कमांड लाइन करत नाही। ती याच क्रमाने हाताळा, कारण प्रत्येक पुढच्यासाठी प्रवेश-अट आहे।

लक्षण एक: लॉगिनपूर्वी लोडर नकार देतो

फायरवॉलमधून घेतलेला इन्स्टॉलर 32-बिट, setuid-root बायनरी /usr/bin/snx वर ठेवतो। 64-बिट डिस्ट्रिब्युशनवर i386 आर्किटेक्चर सक्रिय होईपर्यंत आणि ते ज्या लायब्ररींशी लिंक होते त्या अस्तित्वात येईपर्यंत ते चालत नाही।

sudo dpkg --add-architecture i386
sudo apt update
sudo apt install libstdc++5:i386 libstdc++6:i386 libx11-6:i386 libpam0g:i386
ldd /usr/bin/snx | grep "not found"

रिकामी not found यादी त्यानंतरच्या सर्व गोष्टींसाठी दरवाजा आहे। नेमका पॅकेज संच आवृत्त्यांमध्ये बदलतो: एका काम करणाऱ्या अहवालाला libstdc++5:i386, libx11-6:i386 आणि libpam0g:i386 लागले, दुसऱ्याला libstdc++6:i386 देखील लागले। दुसऱ्या डिस्ट्रिब्युशनसाठी लिहिलेल्या ट्युटोरियलमधून पॅकेज यादी कॉपी करण्याऐवजी ldd वाचा।

snx अजिबात सापडला नाही तर इन्स्टॉलर कधीच पूर्ण झाला नाही किंवा तुमच्या PATH बाहेर कुठेतरी इन्स्टॉल झाला। हे वेगळे अपयश आहे, आणि सिस्टममध्ये आर्किटेक्चर जोडण्यापूर्वी ते पुष्ट करणे योग्य आहे। command -v snx ने तपासा आणि इन्स्टॉलरने सांगितलेल्या डिरेक्टरीत पहा। ज्या मशीनमध्ये बायनरीच नाही तिथे i386 पॅकेजेस जोडल्याने काहीही सुधारत नाही।

लक्षण दोन: लॉगिन यशस्वी होते आणि काहीही रूट होत नाही

यशस्वी लॉगिन tunsnx तयार करते आणि स्वतः राउटिंग टेबल संपादित करते, म्हणून दुसरे काही बदलण्यापूर्वी प्रत्यक्षात काय आहे ते तपासा।

ip -br addr show tunsnx
ip route | grep tunsnx
snx -d

तोडण्यासाठी snx -d वापरा। प्रोसेस मारल्याने इंटरफेस आणि त्याचे मार्ग मागे राहतात, आणि पुढचा प्रयत्न नंतर अशा कारणाने अपयशी होतो ज्याचा क्रेडेन्शियलशी काही संबंध नाही। पहिले लॉगिन /etc/snx/ अंतर्गत सर्व्हर स्वाक्षरी देखील नोंदवते, म्हणून देखरेख नसलेल्या स्क्रिप्टला अजिबात काम करण्यापूर्वी एक इंटरॅक्टिव्ह रन लागू शकतो। ती स्थिती सर्व्हर पुन्हा मंजूर करण्याचा उद्देश असेल तरच हटवा।

लक्षण तीन: बोगदा वर येईपर्यंत नावे सोडवली जातात

हेच शांतपणे तुटते। snx ढकललेले DNS सर्व्हर थेट /etc/resolv.conf मध्ये लिहिते। जिथे तो मार्ग /run/systemd/resolve/ मधील सिम्बॉलिक लिंक आहे, तिथे पुढच्या रिझॉल्व्हर घटनेत संपादन हरवू शकते, आणि डिस्कनेक्टनंतर ढकललेल्या नोंदीही तशाच राहू शकतात।

दोन व्यवस्था काम करतात, आणि निवड पहिल्या शोध निकालाने सुचवलेली नसून जाणीवपूर्वक असावी:

• फाईल स्वतः घ्या: सिम्बॉलिक लिंकच्या जागी स्थिर फाईल ठेवा आणि libnss-resolve तसेच त्याचा i386 प्रकार इन्स्टॉल करा, जेणेकरून फाईल खालून पुन्हा लिहिली गेल्यावरही नाव सेवेला पर्यायी मार्ग राहील।
• systemd-resolved ला मालक ठेवा आणि बोगदा लिंक नोंदवा: resolvectl dns tunsnx 10.0.0.10, नंतर resolvectl domain tunsnx corp.example, आणि resolvectl status ने पुष्टी करा।

जोडण्यापूर्वी VPN-पूर्व नेमसर्व्हर नोंदवा। जर तुम्ही फाईल हाताने संपादित करत असाल, तर नंतर ढकललेल्या नोंदी काढणे हा प्रक्रियेचा भाग आहे, ऐच्छिक स्वच्छता नाही, कारण डिस्कनेक्टनंतर कॉर्पोरेट DNS ठेवणारा लॅपटॉप इतर काहीही सोडवू शकणार नाही।

लक्षण चार: पोर्टल काम करते आणि CLI करत नाही

अलीकडील फायरवॉल आवृत्त्यांनी मिडलवेअर ब्राउझरमधून स्थानिक Java डेमॉनमध्ये हलवले आहे, म्हणून पोर्टल पोर्ट 14186 वर स्थानिक एजंटशी बोलते। त्या पत्त्याला ब्राउझर प्रमाणपत्र अपवाद आणि चालू प्रोसेस लागते।

ps ax | grep cshell
/usr/bin/cshell/launcher

कमांड लाइन वेगळा मार्ग आहे: snx -s vpn.example.com -u user, ज्यामध्ये ~/.snxrc सर्व्हर, वापरकर्तानाव आणि पुनर्प्रमाणीकरण प्राधान्य ठेवते। काम करणारे पोर्टल सत्र CLI योग्यरित्या इन्स्टॉल आहे की नाही याबद्दल काहीही सांगत नाही, आणि साधा क्लायंट एकवेळचे कोड हाताळत नाही।

बचतीपेक्षा जास्त खर्च करणारा कंटेनर मार्ग

snx tun मॉड्यूल तपासते, नसेल तर लोड करते, बोगदा इंटरफेस तयार करते, मार्ग पुन्हा लिहिते आणि रहदारी त्यातून पाठवते। हे कंटेनरमध्ये पुनरुत्पादित करणे म्हणजे /dev आणि /lib/modules माउंट करणे आणि विस्तृत क्षमता देणे, ज्यामुळे होस्टच्या नेटवर्क प्रशासनाचा मोठा भाग कंटेनरला दिला जातो।

जेव्हा खरोखर सँडबॉक्स आवश्यक असेल, तेव्हा व्हर्च्युअल मशीन ही स्वच्छ सीमा आहे: क्लायंटला बदलता येणारे कर्नेल मिळते, आणि होस्ट आपले रूट टेबल ठेवते। दिल्याबद्दल पस्तावाल अशा क्षमतांवर दुपार घालवण्यापूर्वी तेच निवडा।