Check Point VPN w Linuxie: SNX nie jest plikiem do zainstalowania

Szukasz klienta Check Point dla Linuksa i nie znajdujesz strony pobierania z instalatorem. Ten brak nie jest luką w pakowaniu. Klientem zdalnego dostępu Check Point dla Linuksa jest SSL Network Extender, SNX, a brama przekazuje go dopiero po uwierzytelnieniu w przeglądarce. Gdy to sobie ułożysz, reszta zamieszania nabiera sensu, łącznie z tym, dlaczego niemal każdy tekst o tym ma kilka lat.

Mit: istnieje klient, którego pobierasz i instalujesz

To oczekiwanie pochodzi od wszystkich innych dostawców. OpenVPN, WireGuard i większość klientów komercyjnych publikuje pakiet lub repozytorium, a instalacja jest lokalną decyzją, którą podejmujesz sam. Check Point pod Linuksem tak nie działa. W oficjalnych pobraniach dla bieżących wersji bramy nie ma samodzielnego instalatora, więc szukanie go prowadzi tylko do starych wątków na forach i luster osób trzecich.

Te lustra są gorsze niż bezużyteczne, bo kompilacja musi pasować do bramy, która ją serwuje.

Czym naprawdę jest SNX i skąd pochodzi

SNX to klient wiersza poleceń, którego plik binarny nazywa się snx, i instaluje się go w sesji, którą uruchamiasz w przeglądarce wobec bramy. Historycznie robił to aplet Java, pobierając i instalując go po zaakceptowaniu monitu. Mechanizm zmieniał się przez lata, źródło nie. Brama serwuje kompilację pasującą do niej samej, dlatego wersje klienta i bramy idą razem i dlatego klient skopiowany ze starego pakietu działa tylko tak długo, jak długo brama jeszcze z nim rozmawia.

To oznacza też, że brama musi być gotowa, zanim jakakolwiek praca po stronie klienta będzie miała znaczenie. Mobile Access Software Blade musi być licencjonowany i skonfigurowany, bo bez niego nie ma portalu, z którego można instalować. Żaden wysiłek po stronie klienta nie da sesji z bramą, która jej nie oferuje.

Skieruj klienta na bramę ze swoim użytkownikiem i przeczytaj, co zgłasza:

snx -s vpn.example.com -u your.name

Ograniczeniem jest wsparcie dystrybucji, nie instalator

Lista obsługiwanych dystrybucji dostawcy dla SNX jest krótka i stara. W opublikowanym artykule kończy się około Ubuntu 17.04, obok kilku wydań openSUSE, Fedory i RHEL z tej samej epoki, i nadal wymienia Ubuntu 12.10. To mówi, jak lista się starzeje, a nie czego potrzebuje twój komputer. Aktualnej dystrybucji po prostu na niej nie ma.

Spodziewaj się niezgodności bibliotek, zanim spodziewasz się działającego tunelu. Trzy typowe to brakujące biblioteki 32-bitowe w systemie 64-bitowym, wersja OpenSSL, z którą plik binarny nigdy nie był linkowany, oraz moduł jądra, który klient próbuje zbudować. Czytaj brakujące symbole zamiast zgadywać pakiety:

ldd $(command -v snx) | grep "not found"

Potem sprawdź artykuł wsparcia dla wydania bramy, z którym naprawdę się łączysz. Lista w blogu nie jest deklaracją zgodności, a nowsza dystrybucja nie oznacza nowszego klienta.

Szczegół X11, który umożliwia pracę bez ekranu

SNX potrzebuje bibliotek X11, ale nie działającego serwera X. Ta różnica to cała różnica między klientem działającym przez SSH na hoście bez ekranu a takim, który wygląda na zawieszony bez żadnego wyjścia. Zainstaluj pakiet bibliotek dostarczany przez twoją dystrybucję, a nie zestaw skopiowany z innego wydania, i uruchamiaj klienta z sesji, która potrzebuje tunelu.

Po połączeniuprzeczytaj interfejs i trasy, zanim zaufasz którejkolwiek z tych rzeczy:

ip -brief addr show
ip route show

SNX tworzy interfejs tunelu i instaluje trasy zdefiniowane przez portal. Te trasy są decyzją bramy, a nie twoją, więc brakujący prefiks to problem profilu po stronie bramy, a nie błąd klienta. Sprawdź jednocześnie DNS, bo profile z dzielonym tunelem często wypychają resolver, którego się nie spodziewałeś.

Kiedy SNX jest całkowicie złą odpowiedzią

Bramy Check Point mogą też kończyć połączenia IPsec iL2TPtypu klient-lokacja, a te działają z strongSwan, Libreswan lub wtyczką L2TP NetworkManagera. To konfiguracja bramy, nie sztuczka klienta. Jeśli brama publikuje tylko portal Mobile Access,klient IPsec nie ma o czym negocjować, a log pokazuje przekroczenie czasu zamiast błędu uwierzytelniania. Zapytaj, które blade'y zdalnego dostępu są włączone, zanim zainstalujesz cokolwiek innego.

Każde ograniczenie tutaj mieszka po stronie bramy: blade, licencja, kompilacja klienta i profil tras. CLI działa od lat. Łamie się założenie, że wsparcie Linuksa oznacza pakiet, który posiadasz i kontrolujesz.