Check Point VPN på Linux: SNX er ikke en nedlasting du installerer

Du ser etter Linux-klienten til Check Point, og det finnes ingen nedlastingsside med installasjonsprogram. Den mangelen er ikke et hull i pakkingen. Check Points klient for fjernaksess på Linux er SSL Network Extender, SNX, og gatewayen gir deg den når du har logget inn i en nettleser. Når det først synker inn, blir resten av forvirringen forståelig, inkludert hvorfor nesten alle tekster om temaet er flere år gamle.

Myten om en klient du laster ned og installerer

Forventningen stammer fra alle andre leverandører. OpenVPN, WireGuard og de fleste kommersielle klienter publiserer en pakke eller et pakkebrønn, og installasjon er et lokalt valg du gjør på egen hånd. Slik fungerer ikke Check Point på Linux. Det finnes ingen selvstendig installasjonsprogram i de offisielle nedlastingene for dagens gatewayversjoner, så et søk etter et gir bare gamle foruminnlegg og speil fra tredjeparter.

Slike speil er verre enn unyttige, siden bygget må samsvare med gatewayen som tilbyr det.

Hva SNX faktisk er, og hvor det kommer fra

SNX er en klient for kommandolinjen med binærfilen snx, og den installeres gjennom en økt du åpner i nettleseren mot gatewayen. Tidligere lastet og installerte en Java-applet den etter at du godtok ledeteksten. Selve mekanismen er endret gjennom årene, opphavet er det ikke. Gatewayen tilbyr det bygget som passer til seg selv, og derfor går klient- og gatewayversjoner i takt, og derfor virker en klient kopiert fra en gammel pakke bare mens gatewayen fremdeles snakker med den.

Det betyr også at gatewayen må være klar før arbeid på klientsiden har noen betydning. Mobile Access Software Blade må være lisensiert og satt opp, for uten det finnes det ingen portal å installere fra. Uansett hvor mye du gjør på klientsiden, får du ingen økt mot en gateway som ikke tilbyr en.

Pek klienten mot gatewayen med din egen bruker, og les hva den melder:

snx -s vpn.example.com -u your.name

Begrensningen ligger i distribusjonsstøtten, ikke i installasjonsprogrammet

Listen over distribusjoner leverandøren støtter for SNX er kort og gammel. I den publiserte artikkelen stopper den omkring Ubuntu 17.04, ved siden av noen openSUSE-, Fedora- og RHEL-utgivelser fra samme periode, og den lister fortsatt opp Ubuntu 12.10. Det sier hvordan listen eldes, ikke hva maskinen din trenger. En moderne distribusjon står rett og slett ikke der.

Regn med bibliotekkonflikter før du regner med en tunnel som virker. De tre vanlige er manglende 32-bits biblioteker på et 64-bits system, en OpenSSL-versjon som binærfilen aldri ble lenket mot, og en kjernemodul klienten forsøker å bygge. Les de manglende symbolene i stedet for å gjette pakker:

ldd $(command -v snx) | grep "not found"

Deretter bør du slå opp støtteartikkelen for den gatewayutgivelsen du faktisk kobler til. En liste på en blogg er ingen kompatibilitetserklæring, og en nyere distribusjon betyr ikke en nyere klient.

X11-detaljen som gjør skjermløst arbeid mulig

SNX trenger X11-biblioteker, men ikke en X-tjener som kjører. Forskjellen er hele forskjellen mellom en klient som fungerer over SSH på en vert uten skjerm og en som ser ut til å henge uten noe output. Installer bibliotekpakken distribusjonen din leverer, ikke en bunt kopiert fra en annen utgivelse, og kjør klienten fra økten som trenger tunnelen.

Når den har koblet til,les grensesnittet og rutene før du stoler på noen av delene:

ip -brief addr show
ip route show

SNX oppretter et tunellgrensesnitt og installerer rutene portalen bestemmer. Rutene er gatewayens avgjørelse og ikke din, så et manglende prefiks er et profilproblem på gateway-siden og ikke en feil i klienten. Sjekk DNS samtidig, for split-tunnel-profiler dytter ofte inn en resolver du ikke hadde regnet med.

Når SNX er helt feil svar

Check Point-gatewayer kan også avslutte IPsec- ogL2TPforbindelser fra klient til nettsted, og de fungerer med strongSwan, Libreswan eller L2TP-tillegget i NetworkManager. Det er gatewayoppsett, ikke et klienttriks. Hvis gatewayen bare publiserer Mobile Access-portalen,har en IPsec-klient ingenting å forhandle om, og loggen viser tidsavbrudd istedenfor autentiseringsfeil. Spør hvilke blader for fjernaksess som er slått på før du installerer noe annet.

Alle begrensningene her ligger på gateway-siden: bladen, lisensen, klientbygget og ruteprofilen. CLI-en har fungert i mange år. Det som ryker, er antagelsen om at Linux-støtte betyr en pakke du eier og styrer.