Check Point VPN på Linux: SNX er ikkje ei nedlasting du installerer

Du leitar etter Check Point-klienten for Linux og finn inga nedlastingsside med ein installatør. Det fråværet er ikkje eit hol i pakkinga. Linux-klienten for fjernåtkomst frå Check Point er SSL Network Extender, SNX, og gatewayen gjev deg han etter at du har autentisert deg i ein nettlesar. Når det fell på plass, gjev resten av forvirringa meining, òg kvifor nesten kvart innlegg om det er år gamalt.

Myten: det finst ein klient du lastar ned og installerer

Forventninga kjem frå alle andre leverandørar. OpenVPN, WireGuard og dei fleste kommersielle klientar publiserer ein pakke eller eit depot, og installasjon er eit lokalt vedtak du tek åleine. Check Point fungerer ikkje slik på Linux. Det finst ingen frittståande installatør i dei offisielle nedlastingane for gjeldande gatewayversjonar, så eit søk etter ein gjev berre gamle forumtrådar og speglar frå tredjepartar.

Desse speglane er verre enn unyttige, fordi bygget må passe til gatewayen som leverer det.

Kva SNX eigenleg er, og kvar det kjem frå

SNX er ein kommandolinjeklient med binærfil snx, og han vert installert via ein økt du startar i nettlesaren mot gatewayen. Historisk lasta og installerte eit Java-applet han etter at du godtok førespurnaden. Mekanismen har endra seg gjennom åra, kjelda har ikkje. Gatewayen leverer bygget som passar til seg sjølv, og difor følgjer klient- og gatewayversjonar kvarandre, og difor verkar ein klient kopiert frå ein gamal pakke berre så lenge gatewayen enno talar med han.

Det tyder òg at gatewayen må vere klar før noko klientarbeid tyder noko. Mobile Access Software Blade må vere lisensiert og konfigurert, for utan det finst det ingen portal å installere frå. Ingen mengd arbeid på klientsida gjev ei økt mot ein gateway som ikkje tilbyr ei.

Peik klienten mot gatewayen med brukaren din, og les kva han rapporterer:

snx -s vpn.example.com -u your.name

Avgrensninga er distribusjonsstøtte, ikkje installatøren

Lista over støtta distribusjonar frå leverandøren for SNX er kort og gamal. I den publiserte artikkelen stoppar ho rundt Ubuntu 17.04, saman med nokre openSUSE-, Fedora- og RHEL-utgåver frå same tid, og ho listar framleis Ubuntu 12.10. Det fortel deg korleis lista eldast, ikkje kva maskina di treng. Ein gjeldande distribusjon står rett og slett ikkje på ho.

Vent bibliotekkonfliktar før du ventar ein fungerande tunnel. Dei vanlege tre er manglande 32-bits bibliotek på eit 64-bits system, ein OpenSSL-versjon binærfilen aldri vart lenkja mot, og ein kjernemodul klienten prøver å byggje. Les dei manglande symbola i staden for å gjette på pakkar:

ldd $(command -v snx) | grep "not found"

Sjå så på støtteartikkelen for den gatewayutgåva du faktisk koplar til. Ei liste i ein blogg er ikkje ei kompatibilitetsfråsegn, og ein nyare distribusjon tyder ikkje ein nyare klient.

X11-detaljen som gjer hovudlaus arbeid mogleg

SNX treng X11-bibliotek, men ikkje ein køyrande X-tenar. Den skilnaden er heile skilnaden mellom ein klient som verkar over SSH på ein hovudlaus vert og ein som ser ut til å henge utan utdata. Installer bibliotekpakken distribusjonen din tilbyr i staden for ein bunt kopiert frå ei anna utgåve, og køyr klienten frå økta som treng tunnelen.

Etter at han har kopla til,les grensesnittet og rutene før du stolar på nokon av dei:

ip -brief addr show
ip route show

SNX opprettar eit tunellgrensesnitt og installerar rutene portalen definerer. Rutene er gatewayen sitt vedtak og ikkje ditt, så eit manglande prefiks er eit profilproblem på gateway-sida og ikkje ein klientfeil. Sjekk DNS samstundes, for split-tunnel-profilar skyv ofte inn ein resolver du ikkje venta.

Når SNX er heilt feil svar

Check Point-gatewayar kan òg terminere IPsec- ogL2TPklient-til-stad-samband, og dei verkar med strongSwan, Libreswan eller L2TP-pluginen til NetworkManager. Det er ein gatewaykonfigurasjon, ikkje eit klienttriks. Viss gatewayen berre publiserer Mobile Access-portalen,har ein IPsec-klient ingenting å forhandle med, og loggen viser tidsavbrot i staden for ein autentiseringsfeil. Spør kva fjernåtkomst-bladar som er aktive før du installerar noko anna.

Kvar avgrensing her ligg på gateway-sida: bladen, lisensen, klientbygget og ruteprofilen. CLI-en har verka i årevis. Det som bryt saman, er føresetnaden om at Linux-støtte tyder ein pakke du eig og kontrollerer.