Check Point VPN pada Linux: SNX bukan muat turun yang dipasang

Anda mencari klien Check Point untuk Linux dan tidak menemui halaman muat turun dengan pemasang. Ketiadaan itu bukan jurang pembungkusan. Klien akses jauh Check Point untuk Linux ialah SSL Network Extender, SNX, dan gerbang menyerahkannya kepada anda selepas anda mengesahkan identiti dalam pelayar. Apabila itu difahami, kekeliruan yang lain masuk akal, termasuk mengapa hampir setiap tulisan tentangnya berusia tahun.

Mitos: ada klien yang anda muat turun dan pasang

Jangkaan itu datang daripada setiap vendor lain. OpenVPN, WireGuard dan kebanyakan klien komersial menerbitkan pakej atau repositori, dan memasangnya ialah keputusan setempat yang anda buat sendiri. Check Point tidak berfungsi begitu pada Linux. Tiada pemasang berasingan dalam muat turun rasmi untuk versi gerbang semasa, jadi mencarinya hanya memunculkan benang forum lama dan cermin pihak ketiga.

Cermin itu lebih buruk daripada tidak berguna, kerana binaan mesti sepadan dengan gerbang yang menyajikannya.

Apa sebenarnya SNX, dan dari mana asalnya

SNX ialah klien baris arahan yang binari ialah snx, dan ia dipasang melalui sesi yang anda mulakan dalam pelayar terhadap gerbang. Secara sejarah applet Java memuat turun dan memasangnya selepas anda menerima gesaan itu. Mekanisme berubah selama bertahun-tahun, sumbernya tidak. Gerbang menyajikan binaan yang sepadan dengan dirinya sendiri, sebab itulah versi klien dan gerbang bergerak bersama, dan sebab itulah klien yang disalin daripada pakej lama hanya berfungsi selagi gerbang masih bercakap dengannya.

Ini juga bermakna gerbang mesti sedia sebelum apa-apa kerja pada klien bermakna. Mobile Access Software Blade mesti dilesenkan dan dikonfigurasikan, kerana tanpanya tiada portal untuk memasang. Tiada usaha di pihak klien yang menghasilkan sesi terhadap gerbang yang tidak menawarkannya.

Halakan klien ke gerbang dengan pengguna anda, dan baca apa yang dilaporkannya:

snx -s vpn.example.com -u your.name

Kekangan ialah sokongan distribusi, bukan pemasang

Senarai distribusi yang disokong vendor untuk SNX pendek dan lama. Dalam artikel yang diterbitkan, ia berhenti sekitar Ubuntu 17.04, bersama beberapa keluaran openSUSE, Fedora dan RHEL dari zaman yang sama, dan masih menyenaraikan Ubuntu 12.10. Itu memberitahu anda bagaimana senarai itu menua, bukan apa yang mesin anda perlukan. Distribusi semasa sememangnya tiada di dalamnya.

Jangkakan ketidakpadanan pustaka sebelum menjangkakan terowong yang berfungsi. Tiga yang biasa ialah pustaka 32 bit yang hilang pada sistem 64 bit, versi OpenSSL yang tidak pernah menjadi tempat binari dipautkan, dan modul kernel yang cuba dibina oleh klien. Baca simbol yang hilang daripada meneka pakej:

ldd $(command -v snx) | grep "not found"

Kemudian semak artikel sokongan untuk keluaran gerbang yang benar-benar anda sambung. Senarai dalam blog bukan pernyataan keserasian, dan distribusi yang lebih baharu tidak bermakna klien yang lebih baharu.

Perincian X11 yang menjadikan kerja tanpa skrin mungkin

SNX memerlukan pustaka X11 tetapi bukan pelayan X yang berjalan. Perbezaan itulah seluruh perbezaan antara klien yang berfungsi melalui SSH pada hos tanpa skrin dan klien yang kelihatan tergantung tanpa keluaran. Pasang pakej pustaka yang disediakan distribusi anda, bukan berkas yang disalin daripada keluaran lain, dan jalankan klien dari sesi yang memerlukan terowong.

Selepas ia bersambung,baca antara muka dan laluan sebelum anda mempercayai mana-mana daripadanya:

ip -brief addr show
ip route show

SNX mencipta antara muka terowong dan memasang laluan yang ditetapkan portal. Laluan itu keputusan gerbang, bukan keputusan anda, jadi awalan yang hilang ialah masalah profil di pihak gerbang dan bukan pepijat klien. Semak DNS pada masa yang sama, kerana profil split-tunnel sering menolak penyelesai yang anda tidak jangkakan.

Apabila SNX sama sekali jawapan yang salah

Gerbang Check Point juga boleh menamatkan sambungan IPsec danL2TPdaripada klien ke tapak, dan itu berfungsi dengan strongSwan, Libreswan atau pemalam L2TP NetworkManager. Itu konfigurasi gerbang, bukan helah klien. Jika gerbang hanya menerbitkan portal Mobile Access,klien IPsec tiada apa untuk dirunding, dan log menunjukkan tamat masa dan bukan kegagalan pengesahan. Tanya blade akses jauh mana yang didayakan sebelum memasang apa-apa yang lain.

Setiap kekangan di sini hidup di pihak gerbang: blade, lesen, binaan klien dan profil laluan. CLI telah berfungsi bertahun-tahun. Yang rosak ialah andaian bahawa sokongan Linux bermakna pakej yang anda miliki dan kawal.