SNX fuq Linux: libreriji 32-bit u resolver li jerġa’ jissettja

SNX fuq Linux ifalli fil-loader, fit-tabella tar-rotot jew fir-resolver, u kull falliment jidher bħala problema tal-login. Ħaddem l-erba’ sintomi bil-qies.

L’SSL Network Extender ta’ Check Point ifalli fuq Linux b’erba’ modi rikonoxxibbli, u tlieta minnhom jinqraw ħażin bħala problema tal-login. Jew il-binarju ma jibdiex, jew jibda u ma jħalli l-ebda rotta, jew jgħaqqad u s-soluzzjoni tal-ismijiet tmut, jew il-portal tal-browser jaħdem filwaqt li l-linja tal-kmand ma taħdimx. Ħaddimhom f’dak il-qies, għax kull wieħed hu l-kundizzjoni tad-dħul għal dak li jmiss.

Sintomu wieħed: il-loader jirrifjuta qabel il-login

L-installer miġbud mill-firewall iqiegħed binarju 32-bit b’setuid-root f’/usr/bin/snx. Fuq distribuzzjoni 64-bit ma jaħdimx sakemm l-arkitettura i386 tkun attivata u l-libreriji li magħhom jorbot ikunu jeżistu.

sudo dpkg --add-architecture i386
sudo apt update
sudo apt install libstdc++5:i386 libstdc++6:i386 libx11-6:i386 libpam0g:i386
ldd /usr/bin/snx | grep "not found"

Lista not found vojta hija l-bieb għal kull ma jiġi warajha. Is-sett eżatt tal-pakketti jinbidel bejn il-ħarġiet: rappurt wieħed li ħadem kien jeħtieġ libstdc++5:i386, libx11-6:i386 u libpam0g:i386, ieħor kien jeħtieġ ukoll libstdc++6:i386. Aqra ldd minflok ma tikkopja lista tal-pakketti minn tutorja miktuba għal distribuzzjoni oħra.

Jekk snx ma jinstabx affattu, l-installer qatt ma tlestiet jew installa xi mkien barra mill-PATH tiegħek. Dan hu falliment differenti, u jiswa li tikkonfermah qabel ma żżid arkitetturi mas-sistema. Iċċekkja b’command -v snx u ħares fid-direttorju li rrapporta l-installer. Iż-żieda ta’ pakketti i386 fuq magna li fiha l-binarju sempliċement ma jinstabx ma ssewwi xejn.

Sintomu tnejn: il-login jirnexxi u xejn ma jiġi routed

Login li jirnexxi joħloq tunsnx u jeditja t-tabella tar-rotot innifsu, allura ċċekkja x’inhu tassew preżenti qabel ma tbiddel xi ħaġa oħra.

ip -br addr show tunsnx
ip route | grep tunsnx
snx -d

Uża snx -d għat-tneħħija. Li toqtol il-proċess iħalli l-interface u r-rotot tagħha warajh, u l-attentat li jmiss imbagħad ifalli għal raġuni li m’għandha x’taqsam xejn mal-kredenzjali. L-ewwel login jirrekordja wkoll firma tas-server taħt /etc/snx/, u għalhekk skript mingħajr sorveljanza jista’ jkun jeħtieġ esekuzzjoni interattiva waħda qabel ma jkun jista’ jaħdem xejn. Ħassar dak l-istat biss meta tkun beħsiebkom terġa’ tapprova s-server.

Sintomu tlieta: l-ismijiet jiġu solvuti sakemm jogħla t-tunnel

Dan huwa dak li jinkiser bil-kwiet. snx jikteb is-servers DNS imbuttati direttament f’/etc/resolv.conf. Fejn dak il-passaġġ huwa link simboliku f’/run/systemd/resolve/, l-editjar jista’ jintilef fl-event li jmiss tar-resolver, u wara skonnessjoni l-entrati mbuttati jistgħu bl-istess mod jibqgħu.

Jaħdmu żewġ arranġamenti, u l-għażla għandha tkun deliberata u mhux dik li ssuġġeriet l-ewwel riżultat tat-tiftix:

  • Ħu l-fajl: ibdel il-link simboliku b’fajl statiku u installa libnss-resolve flimkien mal-varjant i386 tiegħu, sabiex is-servizz tal-ismijiet xorta jkollu alternattiva meta l-fajl jerġa’ jinkiteb taħtu.
  • Żomm systemd-resolved bħala sid u rreġistra l-link tat-tunnel: resolvectl dns tunsnx 10.0.0.10, imbagħad resolvectl domain tunsnx corp.example, u kkonferma b’resolvectl status.

Innota s-servers tal-ismijiet ta’ qabel il-VPN qabel ma tikkonnettja. Jekk teditja l-fajl bl-idejn, it-tneħħija tal-entrati mbuttati wara hija parti mill-proċedura, mhux tindif fakultattiv, għax laptop li jżomm id-DNS korporattiv wara skonnessjoni ma jkun jista’ jsolvi xejn ieħor.

Sintomu erbgħa: il-portal jaħdem u l-CLI le

Ħarġiet reċenti tal-firewall ċaqalqu l-middleware mill-browser għal daemon Java lokali, allura l-portal jitkellem ma’ aġent lokali fuq il-port 14186. Dak l-indirizz jeħtieġ eċċezzjoni taċ-ċertifikat fil-browser u proċess li jkun qed jaħdem.

ps ax | grep cshell
/usr/bin/cshell/launcher

Il-linja tal-kmand hija passaġġ separat: snx -s vpn.example.com -u user, b’~/.snxrc iżomm is-server, l-isem tal-utent u l-preferenza tal-awtentikazzjoni mill-ġdid. Sessjoni tal-portal li taħdem ma tgħid xejn dwar jekk il-CLI hijiex installata sew, u l-klijent għerwien ma jimmaniġġjax kodiċijiet ta’ darba.

Il-qasira tal-kontenitur li tiswa aktar milli tiffranka

snx jiċċekkja l-modulu tun, jgħabbih meta jkun nieqes, joħloq interface tat-tunnel, jerġa’ jikteb ir-rotot u jimbotta t-traffiku minnu. Li tirriproduċi dan ġewwa kontenitur ifisser li tarmonta /dev u /lib/modules u tagħti kapaċitajiet wesgħin, li dan jagħti lill-kontenitur il-biċċa l-kbira tal-amministrazzjoni tan-netwerk tal-host.

Meta sandbox tkun tassew meħtieġa, magna virtwali hija l-fruntiera aktar nadifa: il-klijent jieħu kernel li jista’ jimmodifika, u l-host iżomm it-tabella tar-rotot tiegħu. Agħżel dan qabel ma tqatta’ nofs ta’ jum fuq kapaċitajiet li se jiddispjaċik li tajt.

Artikli relatati