Check Point VPN pe Linux: SNX nu este o descărcare pe care o instalezi

Cauți clientul Check Point pentru Linux și nu găsești o pagină de descărcare cu un instalator. Această absență nu este o lipsă de împachetare. Clientul de acces la distanță al Check Point pentru Linux este SSL Network Extender, SNX, iar gateway-ul ți-l înmânează după ce te autentifici într-un browser. Odată ce asta se așază, restul confuziei are sens, inclusiv de ce aproape fiecare articol despre el are ani.

Mitul: există un client pe care îl descarci și îl instalezi

Așteptarea vine de la toți ceilalți furnizori. OpenVPN, WireGuard și majoritatea clienților comerciali publică un pachet sau un depozit, iar instalarea este o decizie locală pe care o iei singur. Check Point nu funcționează așa pe Linux. Nu există un instalator autonom în descărcările oficiale pentru versiunile actuale de gateway, așa că o căutare după el aduce doar fire vechi de forum și oglinzi terțe.

Acele oglinzi sunt mai rele decât inutile, pentru că build-ul trebuie să corespundă gateway-ului care îl servește.

Ce este de fapt SNX și de unde vine

SNX este un client de linie de comandă al cărui binar este snx, și se instalează printr-o sesiune pe care o pornești în browser împotriva gateway-ului. Istoric, un applet Java îl descărca și îl instala după ce acceptai mesajul. Mecanismul s-a schimbat de-a lungul anilor, sursa nu. Gateway-ul servește build-ul care corespunde lui însuși, de aceea versiunile clientului și ale gateway-ului merg împreună și de aceea un client copiat dintr-un pachet vechi funcționează doar cât timp gateway-ul mai vorbește cu el.

Asta înseamnă și că gateway-ul trebuie să fie pregătit înainte ca vreo muncă la client să conteze. Mobile Access Software Blade trebuie licențiat și configurat, pentru că fără el nu există portal de unde să instalezi. Niciun efort din partea clientului nu produce o sesiune împotriva unui gateway care nu oferă una.

Îndreaptă clientul spre gateway cu utilizatorul tău și citește ce raportează:

snx -s vpn.example.com -u your.name

Constrângerea este suportul pentru distribuții, nu instalatorul

Lista distribuțiilor suportate de furnizor pentru SNX este scurtă și veche. În articolul publicat se oprește în jurul Ubuntu 17.04, alături de câteva versiuni openSUSE, Fedora și RHEL din aceeași epocă, și încă menționează Ubuntu 12.10. Asta îți spune cum îmbătrânește lista, nu de ce are nevoie mașina ta. O distribuție actuală pur și simplu nu apare pe ea.

Așteaptă-te la nepotriviri de biblioteci înainte de a te aștepta la un tunel funcțional. Cele trei obișnuite sunt biblioteci pe 32 de biți lipsă pe un sistem pe 64 de biți, o versiune de OpenSSL cu care binarul nu a fost niciodată legat, și un modul de kernel pe care clientul încearcă să îl compileze. Citește simbolurile lipsă în loc să ghicești pachete:

ldd $(command -v snx) | grep "not found"

Apoi verifică articolul de suport pentru versiunea de gateway la care te conectezi de fapt. O listă dintr-un blog nu este o declarație de compatibilitate, iar o distribuție mai nouă nu implică un client mai nou.

Detaliul X11 care face posibilă lucrul fără ecran

SNX are nevoie de biblioteci X11, dar nu de un server X care rulează. Această distincție este toată diferența dintre un client care funcționează prin SSH pe un host fără ecran și unul care pare blocat fără nicio ieșire. Instalează pachetul de biblioteci oferit de distribuția ta, nu un pachet copiat din altă versiune, și rulează clientul din sesiunea care are nevoie de tunel.

După ce se conectează,citește interfața și rutele înainte de a te încrede în oricare dintre ele:

ip -brief addr show
ip route show

SNX creează o interfață de tunel și instalează rutele definite de portal. Acele rute sunt decizia gateway-ului, nu a ta, așa că un prefix lipsă este o problemă de profil de partea gateway-ului și nu un defect al clientului. Verifică DNS în același timp, pentru că profilurile cu tunel divizat împing adesea un resolver la care nu te așteptai.

Când SNX este cu totul răspunsul greșit

Gateway-urile Check Point pot termina și conexiuni IPsec șiL2TPde la client la sediu, iar acelea funcționează cu strongSwan, Libreswan sau pluginul L2TP din NetworkManager. Aceasta este o configurație de gateway, nu un truc al clientului. Dacă gateway-ul publică doar portalul Mobile Access,un client IPsec nu are cu ce negocia, iar jurnalul arată un timeout în loc de o eroare de autentificare. Întreabă ce blade-uri de acces la distanță sunt active înainte de a instala orice altceva.

Fiecare constrângere de aici stă de partea gateway-ului: blade-ul, licența, build-ul clientului și profilul rutelor. CLI-ul funcționează de ani buni. Ce se rupe este presupunerea că suportul pentru Linux înseamnă un pachet pe care îl deții și îl controlezi.