Check Point VPN på Linux: SNX er ikke en nedlasting du installerer

Du leter etter Check Point-klienten for Linux og finner ingen nedlastingsside med en installatør. Det fraværet er ikke et hull i pakkingen. Check Points Linux-klient for fjernaksess er SSL Network Extender, SNX, og gatewayen gir deg den etter at du har autentisert deg i en nettleser. Når det faller på plass, gir resten av forvirringen mening, også hvorfor nesten hvert innlegg om det er år gammelt.

Myten: det finnes en klient du laster ned og installerer

Forventningen kommer fra alle andre leverandører. OpenVPN, WireGuard og de fleste kommersielle klienter publiserer en pakke eller et depot, og installasjon er en lokal beslutning du tar alene. Check Point fungerer ikke slik på Linux. Det finnes ingen frittstående installatør i de offisielle nedlastingene for gjeldende gatewayversjoner, så et søk etter en gir bare gamle forumtråder og speil fra tredjeparter.

Disse speilene er verre enn ubrukelige, fordi bygget må passe til gatewayen som leverer det.

Hva SNX egentlig er, og hvor det kommer fra

SNX er en kommandolinjeklient hvis binærfil er snx, og den installeres via en økt du starter i nettleseren mot gatewayen. Historisk lastet og installerte et Java-applet den etter at du godtok forespørselen. Mekanismen har endret seg gjennom årene, kilden har ikke. Gatewayen leverer bygget som passer til seg selv, og derfor følger klient- og gatewayversjoner hverandre, og derfor virker en klient kopiert fra en gammel pakke bare så lenge gatewayen fortsatt snakker med den.

Det betyr også at gatewayen må være klar før noe klientarbeid betyr noe. Mobile Access Software Blade må være lisensiert og konfigurert, for uten det finnes det ingen portal å installere fra. Ingen mengde arbeid på klientsiden gir en økt mot en gateway som ikke tilbyr en.

Pek klienten mot gatewayen med brukeren din, og les hva den rapporterer:

snx -s vpn.example.com -u your.name

Begrensningen er distribusjonsstøtte, ikke installatøren

Leverandørens liste over støttede distribusjoner for SNX er kort og gammel. I den publiserte artikkelen stopper den rundt Ubuntu 17.04, sammen med noen openSUSE-, Fedora- og RHEL-utgivelser fra samme tid, og den lister fortsatt Ubuntu 12.10. Det forteller deg hvordan listen eldes, ikke hva maskinen din trenger. En gjeldende distribusjon står rett og slett ikke på den.

Forvent bibliotekkonflikter før du forventer en fungerende tunnel. De vanlige tre er manglende 32-bits biblioteker på et 64-bits system, en OpenSSL-versjon binærfilen aldri ble lenket mot, og en kjernemodul klienten prøver å bygge. Les de manglende symbolene i stedet for å gjette på pakker:

ldd $(command -v snx) | grep "not found"

Sjekk deretter støtteartikkelen for den gatewayutgivelsen du faktisk kobler til. En liste i en blogg er ikke en kompatibilitetserklæring, og en nyere distribusjon betyr ikke en nyere klient.

X11-detaljen som gjør hodeløst arbeid mulig

SNX trenger X11-biblioteker, men ikke en kjørende X-server. Den forskjellen er hele forskjellen mellom en klient som virker over SSH på en hodeløs vert og en som ser ut til å henge uten utdata. Installer bibliotekpakken distribusjonen din tilbyr i stedet for en bunt kopiert fra en annen utgivelse, og kjør klienten fra økten som trenger tunnelen.

Etter at den har koblet til,les grensesnittet og rutene før du stoler på noen av dem:

ip -brief addr show
ip route show

SNX oppretter et tunellgrensesnitt og installerer rutene portalen definerer. Rutene er gatewayens beslutning og ikke din, så et manglende prefiks er et profilproblem på gateway-siden og ikke en klientfeil. Sjekk DNS samtidig, for split-tunnel-profiler skyver ofte inn en resolver du ikke forventet.

Når SNX er helt feil svar

Check Point-gatewayer kan også terminere IPsec- ogL2TPklient-til-nettsted-forbindelser, og de virker med strongSwan, Libreswan eller NetworkManagers L2TP-plugin. Det er en gatewaykonfigurasjon, ikke et klienttriks. Hvis gatewayen bare publiserer Mobile Access-portalen,har en IPsec-klient ingenting å forhandle med, og loggen viser en tidsavbrudd i stedet for en autentiseringsfeil. Spør hvilke fjernaksess-blader som er aktive før du installerer noe annet.

Hver begrensning her ligger på gateway-siden: bladen, lisensen, klientbygget og ruteprofilen. CLI-en har virket i årevis. Det som bryter sammen, er antakelsen om at Linux-støtte betyr en pakke du eier og kontrollerer.